Что умеет новая версия Triada
Наша защита для Android распознает новую версию Triada с вердиктом Backdoor.AndroidOS.Triada.z. Эта версия предустановлена в прошивки поддельных версий брендовых смартфонов из онлайн-магазинов и может атаковать любое запущенное на смартфоне приложение. Это дает трояну практически неограниченные возможности: контролировать SMS и звонки, красть криптовалюты, скачивать и запускать другие программы, подменять ссылки в браузерах, скрытно отправлять сообщения от лица жертвы в мессенджерах и угонять аккаунты в популярных социальных сетях.
Копия Triada попадает в каждое приложение при его запуске на зараженном устройстве. При этом для популярных приложений в трояне есть специальные кастомизированные модули. Пользователям достаточно скачать совершенно легитимные Telegram или TikTok, чтобы троян встроился в них и начал вредить.
Telegram. Triada скачивает два модуля для компрометации Telegram. Первый модуль раз в сутки запускает вредоносную активность и связывается с командным (C2) сервером: отправляет жуликам номер телефона жертвы, а также полные данные для авторизации, в том числе — токен. Второй отвечает за фильтрацию всех сообщений, переписку с несуществующим на момент исследования ботом и удаление оповещений Telegram о новых открытых сессиях.
Instagram*. Раз в сутки троян запускает вредоносную задачу по поиску cookie-файлов активных сессий и передает полученные данные злоумышленникам. Такие файлы позволяют жуликам получить полный контроль над аккаунтом.
Браузеры. Под угрозой сразу несколько браузеров: Chrome, Opera, Mozilla и другие. Полный список — в статье Securelist. Модуль устанавливает связь с C2 поверх TCP и периодически перенаправляет легитимные ссылки в браузерах — пока только на рекламные ресурсы. Но, поскольку список ссылок для переадресации скачивается трояном с C2-сервера, ничто не мешает злоумышленникам в любой момент начать отправлять пользователей на фишинговые сайты.
WhatsApp*. Снова два модуля. Первый каждые пять минут собирает и отправляет на командный сервер данные об активной сессии, предоставляя злоумышленникам полный доступ к аккаунту жертвы. Второй перехватывает функции клиента, отвечающие за отправку и получение сообщений, что позволяет зловреду отправлять произвольные сообщения в мессенджере и удалять отправленные сообщения для заметания следов.
LINE. Модуль Triada раз в 30 секунд собирает внутренние данные мессенджера, в том числе авторизационные (токен доступа), и отправляет всю информацию на C2-сервер. И снова доступ к аккаунту оказывается в руках третьих лиц.
Skype. Несмотря на официальное прекращение работы Skype, троян имеет модуль и для работы с ним. Triada различными путями получает токен для авторизации и отправляет его на командный сервер.
TikTok. Это модуль умеет собирать множество данных об учетной записи жертвы в cookie-файлах внутренней директории, а также извлекать данные, необходимые для работы с TikTok API.
Facebook*. Для этого приложения у Triada также подготовлено два модуля: первый — для похищения cookie-файлов, необходимых для авторизации, а второй — для отправки на С2-сервер данных о зараженном устройстве.
Конечно, не обошлось и без модулей для SMS и звонков. Первый SMS-модуль позволяет зловреду фильтровать все входящие сообщения и извлекать из них коды, отвечать на некоторые сообщения (вероятно, для оформления платных подписок) и отправлять произвольные SMS по команде с С2-сервера. Второй, вспомогательный, отключает встроенную в Android защиту от SMS-троянов, запрашивающую разрешение пользователя перед отправкой сообщений на короткие номера (Premium SMS) — например, для подтверждения все тех же платных подписок.
Модуль для звонков загружается в приложение для вызовов по сотовой связи, но пока, вероятнее всего, находится в стадии разработки. Мы обнаружили, что в нем частично реализована функциональность подмены номеров — и ее наверняка доделают в ближайшее время.
Еще один модуль, реверс-прокси, превращает смартфон жертвы в обратный прокси-сервер, давая злоумышленникам доступ к произвольным IP-адресам от лица жертвы.
Без внимания не остались и держатели криптовалют. Для них у создателей Triada подготовлен особый сюрприз — клиппер. Работает он так. Если в буфере обмена оказывается адрес криптокошелька, троян подменяет его на один из адресов кошельков злоумышленников. А криптостилер анализирует активность жертвы и при попытке вывести криптовалюту подменяет адрес кошелька на мошеннический везде, где только может, — даже в обработчиках нажатий кнопок в приложениях, а также заменяет элементы с картинками на сгенерированные QR-коды с адресами кошельков злоумышленников. С использованием этих инструментов с 13 июня 2024 года жуликам удалось украсть более 264 тыс. долларов в различных криптовалютах.
