Исследователи из Lookout выявили новый вид шпионского ПО для Android под названием KoSpy. Этот вирус, связанный с северокорейской хакерской группировкой APT37 (ScarCruft), был обнаружен в официальном магазине Google Play, а также на популярной платформе APKPure. Вредоносное ПО скрывалось в пяти легитимных на вид приложениях.

По словам специалистов, хакеры начали активное распространение KoSpy еще в марте 2022 года и продолжают совершенствовать его механизмы атаки.

Как действует шпион?

KoSpy маскируется под файловые менеджеры, инструменты безопасности и обновления для различных приложений. На момент обнаружения вредоносный код содержали как минимум пять приложений:

• 휴대폰 관리자 (Phone Manager)

• File Manager (com.file.exploer)

• 스마트 관리자 (Smart Manager)

• 카카오 보안 (Kakao Security)

• Software Update Utility

Интересно, что почти все эти приложения выполняли часть заявленных функций, чтобы не вызывать подозрений. Единственным исключением стало Kakao Security, которое показывало фальшивое системное окно, запрашивая доступ к важным разрешениям.

Как работает KoSpy?

После установки вирус автоматически загружает зашифрованный файл конфигурации из базы данных Firebase Firestore, что помогает ему избежать обнаружения антивирусами. Затем KoSpy подключается к серверу управления и проверяет, не запущен ли он в среде эмулятора.

KoSpy умеет:

• Перехватывать SMS и историю звонков

• Следить за GPS-координатами жертвы в реальном времени

• Извлекать файлы из локального хранилища

• Записывать звук через микрофон устройства

• Снимать фото и видео с камеры

• Создавать скриншоты экрана

• Фиксировать нажатия клавиш с помощью Android Accessibility Services

Каждое приложение использует отдельный сервер Firebase, на который отправляются данные в зашифрованном виде с помощью жестко закодированного ключа AES.

Кто стоит за атакой?

Эксперты Lookout связали KoSpy с APT37 (ScarCruft) на основании следующих фактов:

• Используемые IP-адреса уже фигурировали в атаках северокорейских хакеров.

• Применяемые домены ранее использовались для распространения малвари Konni.

• Хакерская инфраструктура пересекается с другой группой КНДР – APT43.

Удалены, но не уничтожены

Хотя Google уже удалила вредоносные приложения из Google Play, а APKPure также заблокировал их, угроза остается актуальной. Установленные ранее вирусные файлы не исчезнут с устройств автоматически, и пользователям необходимо вручную их удалить.

Как избавиться от KoSpy?

• Проверьте список установленных приложений и удалите подозрительные программы.

• Запустите антивирусное ПО, чтобы обнаружить остатки вируса.

• При серьезном заражении сделайте сброс до заводских настроек.

«Использование регионального языка в названиях приложений указывает на целенаправленную атаку. Последняя версия вредоносной программы, выявленная в марте 2024 года, была удалена из Google Play до того, как её успели установить пользователи», — заявили представители Google.

Источники: lookout.com, cnews.ru, habr.com, ferra.ru

Реклама этого приложения уже в играх. Предупредите родителей чтоб не ставили каку

Скачиваний овер 1000... А отзывов не так много.
Жалобу оставил, но удалят не скоро (чтобы опубликовать приложение требуется не менее месяца, если с нуля)

Буквально пол часа назад пришла смска из банка о том что на карте недостаточно средств для платежа в google play.
Полез в маркет и не смог зайти, доступ к аккаунту ограничен. Зашел с компа, восстановил доступ с резервного аккаунта, и вижу:

Кто-то залогинился в моей учетке, и вышел со всех подключенных устройств.
далее захожу в маркет и вижу что оформлены подписки одна на 400$ другая на 200$ на неизвестные приложения от одного разработчика:

К счастью на привязанной карте было недостаточно средств для списания.
вот собственно разработчик:

Будьте осторожны, пользуйтесь двухфакторной аутентификацией.

Фейковое приложение на Play маркет.

https://play.google.com/store/apps/details?id=com.fesi.club....

Жалобу отправил, искренне надеюсь на аналогичную помощь от Pikabu.

UPD Отдельное спасибо пользователю @vpupkinrkng за подсказку.

Если под "жалобой" вы понимаете негативный отзыв, то нет, это не жалоба.
Жалобу отправлять здесь: https://support.google.com/googleplay/android-developer/cont...
Application package name указывать com.fesi.club.info
Reason for flagging - Unlawful activities
Ну и немного текста от себя в explanation

Вот такая мура попалась в рекламе одной поигрульки.

Думаю - "тааак блять, че тут у нас".
Описания еще пойдут.

Хер его знает за аэропорты, не вникал никогда.

Пролистав все это - нихуя не понял, но стало очень интересно - и нахера ж это приложение всралось? Отзывы рекомендуемые - один лучше другого.

Скачиваем это гуано, запускаем.
Тадам, блять!

Есть тут представитель от плеймаркет?
Хотелось бы узнать, какого хуя это говно делает на площадке?