Суть угрозы: от «Mir Pay» до бэкдора
Исследователи PT Sandbox выявили вредоносную кампанию, начавшуюся с APK-файла, замаскированного под приложение Mir Pay. Первоначальный анализ показал признаки обфускации и поддельного формата файла. При запуске активировался загрузчик, который не просто устанавливал вредонос, но и создавал ложное уведомление об «успешном обновлении ПО», чтобы усыпить бдительность жертвы.
Инновационный C2: Trello как хостинг для малвари
Ключевая особенность кампании Falcon — использование легитимного сервиса управления задачами Trello для хостинга вредоносных HTML-страниц и последующих стадий загрузки. Злоумышленники создали доски с карточками, содержащими ссылки на фишинговые страницы, которые требовали «обновления» приложения. Это позволяет обходить традиционные черные списки URL, так как домен trello.com является доверенным.
Технические детали и атрибутация
Вторая стадия атаки (бэкдор) использует аналогичные методы упаковки и обфускации. В коде обнаружены строки на русском, английском и украинском языках, а также захардкоженные ключи шифрования RC4. Данные жертв (включая IP-адреса) отправляются на сервер cold-apple[.]com, а конфигурация загружается с Dropbox. Анализ карточек Trello показывает, что вредонос активно обновлялся: первая версия появилась 28.11.2024, последняя — 23.03.2025.
Сравнение техник: Falcon vs типичные банковские трояны
| Характеристика | Типичный банковский троян | Кампания Falcon |
|---|---|---|
| Источник распространения | Сторонние магазины APK, фишинг | APK с поддельным именем (Mir Pay) |
| Хостинг C2/фишинга | Взломанные сайты, временные домены | Сервис Trello (доски и карточки) |
| Социальная инженерия | Требование ввода данных карты | Имитация системного уведомления «Обновление успешно» |
| Языковая поддержка | Часто только английский или локальный язык | Русский, английский, украинский |
Почему это важно
Кампания Falcon демонстрирует эволюцию методов обхода защитных систем. Использование Trello позволяет злоумышленникам долго оставаться незамеченными, так как трафик на этот домен редко блокируется антивирусами. Пользователям рекомендуется проверять список установленных приложений в настройках Android и избегать установки APK-файлов, даже если они маскируются под официальные обновления банковских сервисов.
Источник: Habr ↗