CyberDakait атакует клиентов банков Индии и участников госпрограмм
С начала 2025 года кластер CyberDakait проводит кампанию с вредоносным ПО для Android, нацеленную на клиентов индийских банков и участников государственных программ. В каналах эксфильтрации выявили не менее 17 960 устройств. Злоумышленники перехватили около 7,6 млн SMS-сообщений, в том числе одноразовые пароли (OTP) и уведомления о банковских транзакциях.
Фишинг и распространение вредоносных приложений
Злоумышленники выдают себя за представителей банков и используют смишинг, вайшинг, сообщения в WhatsApp (мессенджер, принадлежит запрещённой в России и признанной экстремистской американской корпорации Meta) и фишинговые сайты. Частая приманка, утверждение, что на недавно выпущенной кредитной карте автоматически активирован план защиты, который нужно немедленно отменить. Жертв перенаправляют на фишинговые страницы, где собирают:
- номера карт, сроки их действия и коды CVV;
- учётные данные для интернет-банкинга и значения из сетки на карте;
- номера мобильных телефонов и PAN, даты рождения и остатки на счетах;
- фотографии платёжных карт.
Вредоносные APK распространяются через репозитории GitHub, оформленные под финансовые учреждения и содержащие множество образцов. Первоначальный APK обычно работает как дроппер. Он использует обманный процесс обновления, имитирующий страницу Google Play Store, чтобы скрытно загрузить и установить другое приложение. Кроме того, APK предлагает отключить оптимизацию батареи, чтобы приложение могло работать в фоновом режиме.
Возможности вредоносного ПО и управление устройствами
Семейства вредоносного ПО поддерживают функции троянских программ: перехватывают и извлекают SMS-сообщения, пересылают или отправляют SMS, перенаправляют телефонные вызовы, отслеживают уведомления и показывают фишинговые окна поверх других приложений для кражи финансовых данных. В образцах также обнаружен компонент криптоджекинга d-miner. Он загружает и запускает зашифрованную полезную нагрузку XMRig. Для мониторинга и управления майнер использует Firebase, а для поддержания работы процесса применяет блокировки пробуждения, бесшумный аудиопоток и канал уведомлений службы переднего плана. Полезные нагрузки шифруются с помощью AES/CBC/PKCS5Padding и подключаются к пулам майнинга под контролем злоумышленников.
Исследователи выявили семь семейств вредоносного ПО. Для них характерны общие цели кампаний, фишинговая инфраструктура, упаковщики и пересекающиеся функции троянца удалённого доступа (RAT). Семейства различаются протоколами C2, схемами баз данных, наборами команд и форматами данных в Telegram. Для связи используются боты Telegram, Firebase или удалённые HTTP-серверы. Они служат для регистрации устройств, выполнения команд и эксфильтрации данных.
В одном из репозиториев GitHub обнаружили контроллерский APK, который позволяет операторам:
- управлять устройствами и извлекать фишинговые данные;
- отслеживать SMS-сообщения и уведомления;
- настраивать пересылку SMS, инициировать звонки и отправку SMS;
- выполнять USSD-команды и собирать сведения об устройствах.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
