Android-дропперы под видом японских приложений устанавливают RAT
С 15 сентября по 16 октября 2026 года выявили 64 образца для Android, связанные с одной операцией на основе дроппера и RAT. Дропперы маскировались под японские приложения для налогообложения, банковских услуг, платёжных терминалов, маркетплейсов, обмена сообщениями, знакомств, потокового вещания и инвестиций.
Устройство дроппера и установка RAT
Образцы обычно подписаны одним и тем же сертификатом разработчика Android, который не подходит для надёжной кластеризации. Более полезные признаки включают повторяющиеся компоненты Wv, Bv, Ir и MainActivity, разрешение REQUEST_INSTALL_PACKAGES, пользовательское действие приёмника INSTALL_COMPLETE и имена пакетов, составленные из повторяющегося набора слов.
Дроппер защищён либо нативным XOR-пакером libsa, либо открытым протектором виртуальной машины nmmp. В образцах с libsa зашифрованный внутренний DEX-файл и XOR-ключ можно восстановить из заглушки приложения. Внутренняя конфигурация содержит адрес C2, ключ AES-256, имя ресурса с полезной нагрузкой, имя устанавливаемого пакета и URL-адрес-обёртку.
Полезная нагрузка RAT хранится в виде APK, зашифрованного алгоритмом AES-256-CTR и сжатого с помощью zlib. Дроппер расшифровывает и устанавливает APK через PackageInstaller, пытаясь подавить запрос на подтверждение пользователя в Android 12 и более поздних версиях, а затем запускает установленный RAT.
Возможности и закрепление RAT
Справочный образец RAT с именем пакета com.open.stone.love использует PlatformAssistDaemon как основной сервис. Связь с сервером управления ведётся через TLS WebSocket с идентификатором устройства. Для аутентификации применяются подписи Ed25519 для каждого устройства, HMAC с временными метками и закрепление сертификатов. Несколько элементов аутентификации встроены в нативный код.
Функции RAT включают захват экрана и управление устройством, сбор данных учётных записей на экране блокировки, внедрение JavaScript в WebView через нативный мост, а также кражу текста, вводимого в поля Alipay и WeChat. Нативные компоненты также выполняют беспроводное сопряжение SPAKE2 для Android Debug Bridge, чтобы получить разрешение WRITE_SECURE_SETTINGS и обеспечить локальное повышение привилегий.
Для закрепления используются управление устройствами, запуск при загрузке, пробуждение через Firebase Cloud Messaging, запланированные задачи и точные будильники. Кроме того, в образцах есть множество сервисных и пользовательских компонентов, предназначенных для поддержания активности вредоносной программы или сокрытия её присутствия.
Инфраструктура и признаки обнаружения
Операция использует две визуально идентичные панели управления с разными китайскими названиями. По всей видимости, в обеих инфраструктурах повторно применяются один и тот же конструктор и RAT.
Авторы отчёта рекомендуют при обнаружении в первую очередь проверять признаки на уровне компонентов, упаковщиков, служб, разрешений, беспроводного сопряжения и поведения. Сертификаты подписи и легитимные маскировочные URL-адреса они предлагают не использовать как приоритетные индикаторы.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
