Mirax заразила тысячи клиентов банков в регионе META
С марта по сентябрь 2026 года Android-вредонос Mirax заразила тысячи клиентов розничных банков региона META. Кампания с тегами сборки «aquafina» и «aquafina_all» была нацелена более чем на 20 региональных банков и цифровых кошельков, а также на несколько глобальных криптовалютных бирж. Авторы отчёта оценивают ущерб в несколько миллионов долларов США по подтверждённым случаям и сообщают, что кампания оставалась активной на момент публикации.
Распространение Mirax и получение доступа
Mirax продаётся как частная платформа вредоносного ПО как услуги. Её разработчик использует псевдоним MiraxBot. Цепочка заражения начинается с приложений для потокового воспроизведения с низким рейтингом в Google Play. По сообщениям, реклама или ссылки на видео внутри таких приложений ведут к внешнему загрузчику, который устанавливает Mirax. Один из обнаруженных загрузчиков выдавал себя за взрослую версию TikTok.
Установленная полезная нагрузка маскируется под Google Play Services, добавляя в название кириллический символ, и побуждает пользователя предоставить ей доступ к службе специальных возможностей Android (Accessibility Service). Имена пакетов генерируются случайным образом, названия приложений периодически меняются, а значки приложений могут скрываться.
Возможности вредоносного ПО и управление им
Получив доступ к службе специальных возможностей, Mirax может отслеживать устройство и управлять им, перехватывать SMS и уведомления, получать учётные данные и секреты экрана блокировки, а также просматривать экран удалённо и взаимодействовать с ним. Операторы могут использовать банковскую сессию жертвы для инициирования транзакций. Вредоносное ПО также поддерживает запись нажатий клавиш, HTML-оверлеи и SOCKS5-прокси, который маршрутизирует трафик через заражённые устройства.
Для закрепления Mirax использует широковещательные приёмники (broadcast receivers), перезапускающие вредоносное ПО после перезагрузки устройства. Механизмы защиты от удаления могут блокировать доступ к экранам удаления приложений или средствам защиты.
Конфигурация Mirax в значительной степени управляется сервером управления (C2). Для передачи команд и вывода данных используются два канала WebSocket, а HTTP long-polling служит резервным механизмом. DNS-over-HTTPS включён по умолчанию; параметры передачи данных могут изменяться удалённо.
Шаблоны банковских оверлеев и перечни целевых приложений загружаются с C2. Поэтому они не обязательно входят в установленный APK и могут различаться на разных устройствах.
Сообщения о несанкционированных переводах
В отчёте упоминаются инциденты с несанкционированными переводами, в том числе международные платежи на предположительно подставные счета (mule accounts) в Индии. Также сообщалось о внутренних переводах и покупках на онлайн-маркетплейсах.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
