ArcticRAT стал многофункциональным троянцем для Android
ArcticRAT развивался от целевого шпионского ПО против пользователей 11 криптовалютных приложений до троянской программы удалённого доступа. Исследователи обнаружили 78 образцов, включая 42 дроппера и 36 полезных нагрузок, а также 21 адрес C2 и 129 команд.
Маскировка и цепочка заражения
Вредоносное ПО маскировалось под Amazon, TikTok, файловые менеджеры, криптовалютные приложения и Google Play. Для распространения использовались вредоносная реклама, смишинг, форумы, фишинговые сайты и инфраструктура доставки, размещённая на AWS.
Цепочка заражения начинается с дроппера, который запрашивает привилегии VPN и временно направляет сетевой трафик в null. На этапе подготовки это ограничивает телеметрию Google Play Protect. Дроппер показывает поддельный интерфейс установки через WebView, расшифровывает основной полезный груз из встроенных ресурсов и устанавливает его с помощью нативного установщика сессий Android. Затем VPN-соединение завершается.
Наблюдение и удалённое управление
Полезный груз использует службы доступности (Accessibility Services) для наблюдения, автоматизации, кражи учётных данных и удалённого управления. ArcticRAT взаимодействует с операторами через TCP-сокеты. Для связи используются основной порт, например 9999, и отдельные каналы Hidden VNC, потоковой передачи звука с микрофона, перенаправления экрана и трансляции экрана.
Программа собирает сведения об устройстве, в том числе состояние батареи и экрана, данные о подключении к Wi-Fi и изображения обоев. Операторы могут выбирать атакующие сценарии в зависимости от профиля жертвы. Среди возможностей ArcticRAT есть захват экрана в реальном времени с помощью MediaProjection и VirtualDisplay, передача JPEG-кадров, извлечение данных с экрана с помощью функций доступности, потоковая передача звука с микрофона, удаление приложений и самоудаление.
Вредоносное ПО может показывать обманчивый оверлей вымогателя с фиктивным бесконечно повторяющимся процессом шифрования, хотя файлы фактически не шифруются. Для сокрытия активности применяются оверлеи с чёрным экраном и снижение яркости. Пока операторы управляют банковскими приложениями или одобряют разрешения через HVNC, данные об использовании служб доступности и активных полях ввода помогают перехватывать учётные данные, коды аутентификации и сообщения. Эти сведения помещаются в скрытые каталоги во внешнем хранилище.
Кража учётных данных и новые возможности
ArcticRAT способен показывать локализованные фишинговые оверлеи на экране блокировки, чтобы похищать PIN-коды, графические ключи и пароли. Украденные учётные данные передаются сразу или сохраняются для последующего извлечения. Операторы могут проверять их с помощью команды locksettings в Android.
В недавних вариантах вредоносного ПО используется парное соединение Wireless ADB. Оно даёт привилегированный доступ к оболочке, через которую можно включать и отключать службы доступности, проверять настройки блокировки, очищать или заменять учётные данные устройства и поддерживать визуальную скрытность.
В ArcticRAT интегрирован API больших языковых моделей (LLM), вызываемый командой xAI_API. Вредоносное ПО отправляет собранные данные приложений и сообщений для автоматического выявления банковских, криптовалютных и торговых приложений, а также извлечения потенциальной финансовой разведки в формате структурированного JSON. Результат анализа извлекается специальной командой C2 и передаётся операторам.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
