🔥 Новый вид атак: Telegram-боты крадут SMS и пароли Android-пользователей из России

Исследователи компании Zimperium обнаружили вредоносную кампанию, которая использует тысячи Telegram-ботов для заражения устройств на Android с целью кражи SMS и одноразовых паролей для двухфакторной аутентификации.

Эта кампания действует с февраля 2022 года и уже затронула более 107 000 устройств. Злоумышленники используют зараженные телефоны для получения финансовой выгоды, применяя их для обхода проверок и скрытия своей личности.

Вовлечение через Telegram

Вредоносные программы распространяются через вредоносную рекламу или автоматизированные Telegram-боты, которые взаимодействуют с жертвами.

В одном случае жертвы перенаправляются на поддельные страницы Google Play, чтобы загрузить фальшивые приложения. В другом случае боты обещают предоставить пиратские приложения, прося номер телефона жертвы для отправки APK-файла.

Таким образом, боты получают номер телефона, который используется для создания нового APK, делая возможным персонализированное отслеживание или будущие атаки.

Использование Telegram-ботов

Zimperium сообщает, что для продвижения различных APK-файлов для Android используется 2600 Telegram-ботов, контролируемых 13 серверами управления и контроля (C2).

Большинство жертв этой кампании находятся в Индии и России, хотя значительное число жертв также зарегистрировано в Бразилии, Мексике и США.

Финансовая выгода

Исследователи выяснили, что вредоносное ПО передает захваченные SMS-сообщения на определенный API-эндпоинт на одном из сервисов с временными номерами.

Этот сайт позволяет посетителям приобретать доступ к «виртуальным» телефонным номерам в зарубежных странах, которые можно использовать для анонимизации и аутентификации на онлайн-платформах и сервисах.

Рекомендации по безопасности

Чтобы не стать жертвой подобной атаки, избегайте загрузки APK-файлов вне Google Play или хотя бы из неизвестных вам источников. Также не давайте приложениям подозрительные разрешения, если они не связаны с основной функцией, и убедитесь, что функция Play Protect включена на вашем устройстве.