Android-трояны Xiny могут инфицировать системные процессы

Android-трояны Xiny могут инфицировать системные процессы

Android-трояны Xiny могут инфицировать системные процессы

Вредоносные программы семейства Xiny для Android способны заражать процессы системных приложений и загружать вредоносные плагины в зараженные программы, предупреждают исследователи Доктор Веб.

Эксперты утверждают, что эти вредоносы были разработаны с целью загрузки и удаления различных программ с устройств, этот функционал требует привилегии рута. После получения этих привилегий, троян может тихо скачать и установить на устройство любое приложение и отображать назойливую рекламу.

Трояны Xiny появились в марте 2015 года и распространяются через популярные веб-сайты и даже официальные магазины приложений. Эти вредоносные программы имеют неизменный APK-файл, который предназначен для защиты от удаления.

Недавное улучшение функционала, которое получили зловреды этого семейства представляет собой способность внедряться в системные приложения , что позволяет им запускать различные вредоносные плагины. Один из троянов этого семейства - Android.Xiny.60 извлекает несколько вредоносных компонентов (/xbin/igpi; /lib/igpld.so; /lib/igpfix.so; and /framework/igpi.jar) и копирует их в системные каталоги.

Вредоносная программа использует модуль igpi, чтобы внедриться в системные процессы Google Play (com.android.vending) и Google Play Services (com.google.android.gms, co.google.android.gms.persistent). Кроме того, вредоносный модуль может быть введен в процесс Zygote.

После заражения процесса Zygote, троян может отслеживать запуск новых приложений и может внедрять вредоносный модуль igpi.jar (Android.Xiny.60) в них.

Такой принцип не является чем-то новым, ранее в этом году такой функционал был замечен в Android-трояне Triada. Поскольку процесс Zygote содержит системные библиотеки и структуры, которые используют почти все приложения, Triada был в состоянии работать в каждом приложении на устройстве.

Вредоносный модуль igpi.jar был разработан для загрузки плагинов и их запуска в зараженной среде. Он также может передавать различную информацию об устройстве в командный центр, например: IMEI, IMSI, MAC-адрес сетевого адаптера, версию операционной системы, модель мобильного устройства, текущий системный язык и имя пакета прикладных программ.

Вредоносные плагины работают как часть зараженного приложения, говорят исследователи. Они могут загрузить модуль программного обеспечения, перехватывать и отправлять сообщения, заразить банковскую программу, красть конфиденциальную информацию, например, логины, пароли, номера кредитных карт и т.д., и даже тайно перевести деньги на счет киберпреступников.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Мещанский суд Москвы арестовал руководство Аеза Групп

Мещанский суд Москвы по ходатайству следствия арестовал соучредителя и генерального директора компании «Аеза Групп» Юрия Бозояна, а также его заместителей Орела и Зубова.

Их обвиняют в осуществлении незаконной банковской деятельности и создании организованного преступного сообщества. Кроме того, фигурантов связывают с кампанией Doppelgänger.

Задержание подозреваемых произошло 1 апреля после обыска в офисе «Аеза Групп», расположенном на Зольной улице в Санкт-Петербурге, в здании, где ранее находился «ЧВК Вагнер-центр».

Как сообщает «Фонтанка», обыск проводили сотрудники ОБЭП УМВД по Санкт-Петербургу и Ленинградской области. По данным издания, фигурантам вменяется участие в преступном сообществе и незаконная банковская деятельность (часть 2 статьи 172 и часть 1 статьи 210 УК РФ). В числе прочего, они, предположительно, занимались обналичиванием денежных средств и криптовалютными операциями.

Официально «Аеза Групп» заявляла о деятельности в сфере хостинга и аренды серверов. Согласно информации РБК, компания существует с 2021 года. Помимо Бозояна, в числе её соучредителей числятся Арсений Пензев и Игорь Князев.

По данным зарубежных СМИ, «Аеза Групп» играла ключевую роль в информационной кампании Doppelgänger («Двойник»), в рамках которой создавались сайты-имитаторы с фейковыми новостями. Ранее «Фонтанка» также писала о публикациях в европейских СМИ, в которых «Аезу Групп» связывали с деятельностью в даркнете и операциями с криптовалютой, однако ссылки на первоисточники приведены не были.

Ранее российские власти уже предприняли ряд шагов против известных фигур, вызывавших недовольство у США. Среди них — арест хакера Михаила Матвеева (известного как Wazawaka), блокировка телеграм-канала «Глаз Бога» и операция против криптобиржи Cryptex, активно использовавшейся киберпреступниками.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru