Новый Android-троян Perseus научился извлекать данные из приложений для заметок

Аналитики компании ThreatFabric опубликовали результаты исследования вредоносного программного обеспечения Perseus, предназначенного для атак на устройства под управлением Android. В отличие от традиционных банковских троянов, данный софт использует службы специальных возможностей для автоматизации взаимодействий с пользовательским интерфейсом, что позволяет ему получать доступ к содержимому приложений для заметок.

Согласно отчету, Perseus является результатом развития кода известных семейств мобильных угроз, таких как Cerberus и Phoenix. Исследователи установили, что вредоносное ПО обладает высоким уровнем адаптивности к современным защитным механизмам ОС Android. Программа содержит специализированную команду «scan_notes», с помощью которой сканирует популярные приложения, включая Google Keep, Samsung Notes и Evernote, для поиска и последующего извлечения конфиденциальной информации.

Помимо кражи данных, троян реализует функции интерактивного управления устройством. Используя службы специальных возможностей (Accessibility Services), программное обеспечение способно эмулировать действия владельца смартфона, что открывает злоумышленникам доступ к совершению транзакций или изменению настроек. Для сохранения скрытности Perseus проверяет окружение на наличие инструментов отладки, например, платформы Frida, что позволяет ему успешно уклоняться от методов анализа в процессе своей работы.

Основным вектором распространения вредоносного ПО остаются приложения, маскирующиеся под сервисы IPTV. Данная тактика позволяет киберпреступникам повышать доверие пользователей, которые привыкли к установке APK-файлов из сторонних источников вне официального магазина Google Play. Аналитики отмечают, что использование общей кодовой базы с семействами типа Medusa указывает на тенденцию к масштабируемому повторному использованию инструментов разработки. В текущих условиях Perseus классифицируется как адаптированная угроза, направленная на эффективную работу в защищенной мобильной среде.

Источник: ThreatFabric