Новое шпионское ПО для Android собирает полную информацию о пользователе

Исследователи ИБ-компании Zimperium Labs обнаружили новое шпионское ПО для Android под названием RatMilad, которое создано злоумышленниками на Ближнем Востоке и используется для слежки и кражи данных пользователей. Украденные данные могут быть использованы для доступа к частным корпоративным системам, шантажа жертвы и других злонамеренных целей.

Шпионское ПО распространяется через поддельный генератор виртуальных номеров NumRent. После установки приложение запрашивает сомнительные разрешения, а затем использует их для загрузки вредоносной полезной нагрузки RatMilad.

Приложение NumRent, которое загружает RatMilad

Основным каналом распространения поддельного приложения является Telegram, поскольку NumRent или другие дропперы, загружающие RatMilad, недоступны в магазине Google Play или сторонних магазинах.

Операторы RatMilad также создали специальный веб-сайт для продвижения мобильного RAT-трояна, чтобы приложение выглядело более убедительно. Этот веб-сайт рекламируется в Telegram и других соцсетях.

Сайт NumRent

После установки на устройство жертвы RatMilad крадет следующие данные:

• Основная информация об устройстве (модель, марка, buildID, версия Android);
• MAC-адрес устройства;
• Список контактов;
• СМС;
• Журналы вызовов;
• Имена учетных записей и разрешения;
• Список установленных приложений и разрешения;
• Данные буфера обмена;
• GPS-данные о местоположении;
• Информация о SIM-карте (номер, страна, IMEI, регион);
• Список файлов и их содержимое.

RatMilad может выполнять действия с файлами, такие как:

• Удаление и кража файлов;
• Изменение разрешений приложения;
• Использование микрофона устройства для записи звука.

Шпионское ПО RatMilad предназначено для бесшумной работы в фоновом режиме, не вызывая подозрений. По словам экспертов, операторы RatMilad получили исходный код из Telegram-канала AppMilad . Исследователи Zimperium сделали вывод, что операторы RatMilad атакуют случайные цели и не проводят целевые кампании.