Эксперты проанализировали новые версии Android-трояна BankBot

Эксперты проанализировали новые версии Android-трояна BankBot

Эксперты проанализировали новые версии Android-трояна BankBot

Исследователи лаборатории FortiGuard Labs решили проанализировать печально известного Android-трояна BankBot и отразить процесс его эволюции за последние 10 месяцев. В большинстве случаев приложение маскируется под Flash Player или какой-либо инструмент системы Android. При установке требуется большое количество разрешений, это выглядят очень подозрительно. Более того, после запуска трояну нужно еще больше разрешений.

На рисунке ниже можно ознакомиться с полным списком запрашиваемых BankBot’ом разрешений:

Анализируемая экспертами версия BankBot имеет относительно низкий процент обнаружения – всего 15-20 детектов на VirusTotal. Это несмотря на то, что он не использует обфускацию, чтобы скрыть строки или функциональные возможности.

После установки приложение требует привилегий администратора. В большинстве случаев этот запрос сопровождается объяснением на турецком языке, что наталкивает на мысль о том, что именно Турция является атакуемой этим трояном страной.

После получения прав администратора, вредоносное приложение скрывается, удаляя свой значок. Затем он отправляет информацию об устройстве на командный сервер, среди нее IMEI, контакты и SMS-сообщения (отправленные и полученные).

После этого троян проверяет, установлены ли на устройстве какие-либо приложения турецких финансовых учреждений. Если таковые обнаруживаются, то вредонос загружает фишинговую страницу, похожую на легитимный аналог финансового учреждения.

Фактически, код этого образца очень похож на код, обанруженный в декабре 2016 года, с небольшим количеством изменений. Двумя самыми большими и очевидными отличиями являются: во-первых, метод инъекций, во-вторых, проверка всех исходящих вызовов, в ходе которой идет сравнение с жестко запрограммированным в коде списком номеров.

После поиска этих номеров в интернете, экспертам удалось выяснить, что они принадлежат технической поддержке турецких финансовых учреждений. Другими словами, если пользователь попытается позвонить на один из этих номеров, BankBot сразу прервет вызов.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Организаторы ложных свиданий заманивают жертв дипфейками

Мошенники начали активно использовать дипфейки в схемах с фальшивыми онлайн-знакомствами (Fake Date). С помощью искусственного интеллекта они создают несуществующих людей, которые выманивают деньги, или генерируют откровенный контент, заманивая жертв на фишинговые сайты.

Как рассказала «Известиям» Татьяна Дешкина, руководитель портфеля продуктов VisionLabs (входит в МТС), мошенники используют генеративные модели для создания правдоподобных персонажей, которых можно даже увидеть в видеозвонке.

«Мы уже зафиксировали 10 таких случаев, каждый из которых принес злоумышленникам более миллиона рублей, — отметила Дешкина. — Искусственный интеллект позволяет мошенникам анализировать информацию о жертве, включая данные из социальных сетей, и выстраивать максимально реалистичный сценарий обмана».

По ее прогнозу, в 2025 году такие схемы станут еще более изощренными. Например, нейросети помогут злоумышленникам выявлять в сервисах знакомств пользователей, наиболее уязвимых к их методам.

Ведущий аналитик Digital Risk Protection Евгений Егоров также ожидает роста атак с применением дипфейков, поскольку технологии развиваются, а инструменты на основе ИИ становятся все доступнее.

«Чаще всего мошенники используют дипфейки в схемах знакомств, — поясняет эксперт в области криптовалют Сергей Кузнецов. — Они могут выдавать себя даже за голливудских звезд, якобы ищущих вторую половину, и просить оплатить перелет в другую страну. Предлоги могут быть разными, включая знакомства в соцсетях, где уровень доверия выше. Кроме того, мошенники занимаются вредоносными рассылками, похищением криптоактивов, фишингом. Фальшивые свидания — лишь часть их преступного бизнеса».

По его данным, значительная часть таких мошенников базируется в Нигерии, а их деятельность охватывает не только Россию, но и другие страны. Причем среди них немало подростков.

Специалист GG Tech Сергей Поморцев отмечает, что злоумышленники все чаще применяют специализированные ИИ-ассистенты для генерации контента 18+, что позволяет им сократить расходы и отказаться от посредников. Такой контент используется для привлечения жертв на фишинговые сайты.

Руководитель BI.ZONE Brand Protection Дмитрий Кирюшкин предупреждает, что мошенники особенно активны в преддверии праздников и нередко используют актуальные новости для своих схем.

«С 1 января 2025 года мы выявили 67 доменов, связанных с фальшивыми свиданиями. Чаще всего мошенники представляются девушками, якобы ищущими знакомства в дейтинговых приложениях. В праздничные дни стоит особенно внимательно относиться к подобным предложениям», — подчеркивает Кирюшкин.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru