Что такое Triada и чем он опасен?

Triada — это модульный мобильный троян, впервые выявленный в 2016 году. Он отличается высокой степенью сложности и способен:

• Получать root-доступ, что позволяет ему вносить изменения в системные файлы и процессы устройства.

• Интегрироваться в процесс Zygote, являющийся основой для запуска всех приложений на Android, что обеспечивает его присутствие во всех запущенных приложениях.

• Скрывать свое присутствие, делая его обнаружение и удаление крайне затруднительным.

Основная цель Triada — перехват финансовых транзакций, отправляемых через SMS, и перенаправление средств на счета злоумышленников. Кроме того, троян способен загружать и запускать дополнительные вредоносные модули, расширяя спектр своих функций.

«Троянец Triada известен давно, он все еще остается одним из наиболее сложных и опасных среди угроз для Android. Его новая версия проникает в прошивки смартфонов еще до того, как гаджеты попадают в руки пользователей. Вероятно, на одном из этапов цепочка поставок оказывается скомпрометированной, поэтому в магазинах могут даже не подозревать, что продают смартфоны с Triada. При этом авторы новой версии Triada активно монетизируют свои усилия. Судя по анализу транзакций, они смогли перевести порядка 270 000 долларов в разной криптовалюте на свои криптокошельки. Однако в реальности эта сумма может быть больше, злоумышленники также были нацелены на Monero — криптовалюту, которую невозможно отследить», — комментирует Дмитрий Калинин, эксперт по кибербезопасности в «Лаборатории Касперского».

Какие устройства подвержены риску?

Согласно исследованиям, Triada был обнаружен на ряде бюджетных моделей Android-смартфонов, включая:

• Leagoo M5

• Leagoo M5 Plus

• Leagoo M5 Edge

• Leagoo M8

• Leagoo M8 Pro

• Leaoo Z5C

• Leagoo T1 Plus

• Leagoo Z3C

• Leagoo Z1C

• Leagoo M9

• ARK Benefit M8

• Zopo Speed 7 Plus

• UHANS A101

• Doogee X5 Max

• Doogee X5 Max Pro

• Doogee Shoot 1

• Doogee Shoot 2

• Tecno W2

• Homtom HT16

• Umi London

• Kiano Elegance 5.1

• iLife Fivo Lite

• Mito A39

• Vertex Impress InTouch 4G

• Vertex Impress Genius

• myPhone Hammer Energy

• Advan S5E NXT

• Advan S4Z

• Advan i5E

• STF AERIAL PLUS

• STF JOY PRO

• Tesla SP6.2

• Cubot Rainbow

• EXTREME 7

• Haier T51

• Cherry Mobile Flare S5

• Cherry Mobile Flare J2S

• Cherry Mobile Flare P1

• NOA H6

• Pelitt T1 ПЛЮС

• Prestigio Grace M5 LTE

• BQ 5510

Эти устройства поступают в продажу с предустановленным трояном, что указывает на компрометацию цепочки поставок.

Как защитить себя?

Чтобы минимизировать риск заражения:

1. Покупайте устройства у проверенных продавцов. Избегайте приобретения смартфонов в сомнительных онлайн-магазинах или у неофициальных дилеров.

2. Используйте надежное антивирусное ПО. Установите проверенные решения для защиты от вредоносного софта и регулярно обновляйте их.

3. Будьте внимательны к разрешениям приложений. Перед установкой приложений проверяйте, какие разрешения они запрашивают, и избегайте предоставления излишних прав.

4. Обновляйте операционную систему. Регулярно устанавливайте обновления ОС и приложений для защиты от известных уязвимостей.

Помните, что предустановленный вредоносный софт особенно опасен, так как может действовать скрытно и с повышенными привилегиями.

Источники: rbc.ru, securityweek.com, 2-spyware.com, threats.kaspersky.com

• одно на неизвестный мне номер (судя по всему, с указанием номера взломанного телефона)

• одно на номер 900

Во входящих сообщениях:

• сразу пришло сообщение "СМС для входа в МТС деньги..."

• еще одно сообщение "попытка регистрации на сайте..."
  То, что @MTS, позволяет войти в личный кабинет только по СМС ни для кого не секрет. Не знаю, зачем так сделано, но это максимально ущербно.

Знакомой повезло, что удалось в течение нескольких минут понять, что "что-то пошло не так", снести приложение, включить авиа-режим и дальше мы занимались решением проблем.

Что сделали для устранения угрозы:

1. Сменили пароль в личном кабинете МТС и установили способ входа на "Пароль + смс"; Судя по тому, что это удалось (и по отправленным 2 смс), до личного кабинета не добрались.

2. Проверили активные сессии в личном кабинете МТС; "Чужих" сессий не обнаружено.

3. Проверили наличие новых карт / кредиток в МТС банке и МТС деньгах; Истории переводов, заявок на открытие не обнаружили.

4. В личном кабинете МТС увидели, на какой номер было отправлено самое первое смс;

5. Сразу написали в поддержку МТС, прислали номер телефона и указали, что НА него уходит СМС из трояна. Ответ был примерно такой: "Укажите ФИО владельца номера, куда уходили СМС" , Естественно, я это ФИО не знаю; Таким образом я понял, что делать они с этим ничего не будут(

6. Удалили разрешение на установку приложение отовсюду кроме rustore и app gallery.

ps На телефоне стоял Антивирус Касперского (купленный, Премиум), который как назло в этом время обновился неделю назад и при входе требовал "подтвердить согласие на использование". Вот такой помощник.

Выводы по итогам ситуации.

1. Всё могло закончиться гораздо печальнее, если бы приложение успело переслать смс с кодами для входа в личный кабинет;

2. Вариант еще хуже - если бы это оказался не смс-троян, а приложение для удалённого доступа к телефону (по типу anydesk)

3. Я всё больше склоняюсь к варианту "отдельная сим + номер для банков и прочего";

4. Знакомая не знала, что такое apk, поэтому и попалась. Выходит, можно по невнимательности / незнанию поставить вот такое прекрасное приложение и оказаться в ловушке.

ps Предвижу сообщения: "А вот если бы был ios, такой бы проблемы не было". Частично согласен, но про ios отдельный разговор.

Защититься от квишинга можно. Главное:

• Не сканируйте QR-коды из неизвестных источников, в том числе полученные от незнакомцев в мессенджерах и электронной почте.

• Не оставляйте свои конфиденциальные данные на непроверенных ресурсах.

• Будьте внимательны при использовании кода – убедитесь, что сайт, на который он ведет, легитимный.

• Не скачивайте и не запускайте приложения по QR-кодам с неофициальных площадок.

• Включите, если есть, функцию предварительного просмотра на устройстве, чтобы увидеть, куда приведет код, до открытия страницы. Внимательно проверьте имя домена – нет ли там опечаток.

• Используйте надежное антивирусное решение.