FakeCall: как потерять все деньги после звонка в банк

Специалисты компании Zimperium выявили новый вариант вируса FakeCall, нацеленный на мобильные устройства, особенно на Android.

FakeCall использует вишинг — вид фишинговой атаки, при которой мошенники звонят жертве и обманом заставляют предоставить конфиденциальные данные. Вирус позволяет злоумышленникам получить доступ к личной информации пользователей, включая учетные данные, номера кредитных карт и банковскую информацию.

FakeCall использует поддельные звонки и интерфейс, который выглядит как стандартное приложение для звонков на Android. Жертва может подумать, что звонит в банк или другую организацию, но на самом деле разговор перенаправляется на номер, контролируемый злоумышленниками. При этом интерфейс поддельного приложения маскируется под привычный интерфейс, что помогает скрыть факт подмены.

После загрузки с помощью APK на устройство, вирус загружает вредоносные данные с C2-сервера, что позволяет атакующим перехватывать исходящие и входящие звонки. Вирус также активно использует командный сервер для выполнения различных действий на устройстве, в том числе отправки и удаления сообщений, получение доступа к контактам и журналам вызовов, а также записи разговоров.

Атака начинается с загрузки файла, который выполняет роль дроппера и внедряет вирус второго этапа. Затем FakeCall связывается с C2-сервером, что позволяет выполнять команды, полученные от злоумышленников. Основные функции вируса включают:

• Переадресация звонков: Вирус перехватывает вызовы, перенаправляя их на номера мошенников.
• Удаленный доступ: Злоумышленники могут управлять интерфейсом устройства, включая нажатия кнопок, прокрутку экрана и переходы между приложениями.
• Удаление сообщений и приложений: Возможность удалять сообщения и приложения с устройства, а также получать доступ к информации о звонках, местоположению и контактам.

Новые версии FakeCall включают несколько усовершенствований. Вирус использует такие функции, как мониторинг состояния Bluetooth и экрана, а также добавляет службу доступности, что предоставляет вредоносному ПО доступ к пользовательскому интерфейсу устройства и позволяет получать информацию о действиях пользователя. Также среди функций появилась возможность скрытого автоматического предоставления разрешений и контроля над системными функциями устройства.

В новых версиях вируса также добавлены команды для отключения Bluetooth, получения списка миниатюр фотографий и управления основными функциями устройства, такими как симуляция нажатия кнопки «Домой» и управления доступом к устройству через экран блокировки.

FakeCall находится в стадии активной разработки, и его операторы работают над тем, чтобы сделать его более скрытным и опасным банковским трояном. Zimperium опубликовал список индикаторов компрометации (IoC), включая имена пакетов приложений и контрольные суммы APK. Пользователям рекомендуется избегать ручной установки приложений Android через APK, а вместо этого устанавливать их из Google Play. Хотя вредоносное ПО все еще может проникнуть в сервис Google, при обнаружении его можно удалить с помощью Google Play Protect.