Специалисты по информационной безопасности обнаружили новую, значительно более опасную версию трояна RedHook, атакующего смартфоны под управлением Android. После заражения вредоносная программа получает практически полный контроль над устройством, что позволяет злоумышленникам похищать банковские данные, пароли, личную информацию и даже отслеживать всё, что происходит на экране.

Главная особенность новой версии RedHook заключается не только в широких возможностях для слежки, но и в высокой живучести. Вирус использует специальные механизмы, которые затрудняют его остановку и удаление, из-за чего обычной перезагрузки устройства зачастую оказывается недостаточно.

Как распространяется RedHook

По данным специалистов компании Group-IB, злоумышленники делают ставку на методы социальной инженерии.

Потенциальной жертве могут написать в SMS, мессенджере или по электронной почте, а иногда даже позвонить по телефону. Во время общения мошенники представляются сотрудниками службы поддержки, банков, государственных организаций или других известных компаний, стараясь вызвать доверие.

После этого человека убеждают перейти по ссылке и установить приложение, которое на самом деле является вредоносной программой.

Поддельный магазин приложений

Для загрузки трояна используются специально созданные сайты, внешне напоминающие официальный магазин Google Play.

Пользователю предлагают скачать APK-файл и установить его вручную. После запуска приложение начинает запрашивать различные разрешения, объясняя это необходимостью корректной работы.

Получив доступ, RedHook скрытно активирует Wireless Android Debug Bridge (Wireless ADB) — инструмент, предназначенный для разработчиков. Благодаря этому троян получает расширенные системные привилегии и практически полный контроль над устройством.

После заражения злоумышленники могут:

• видеть всё, что отображается на экране смартфона;
• перехватывать нажатия клавиш;
• получать банковские и платёжные данные;
• похищать пароли и другую конфиденциальную информацию;
• управлять устройством удалённо.

Почему удалить вирус стало значительно сложнее

Первая версия RedHook была обнаружена исследователями компании Cyble ещё в прошлом году. Однако новая модификация получила сразу несколько механизмов самозащиты.

Один из них использует технологию WakeLock, которая не позволяет системе автоматически завершить работу вредоносного процесса.

Кроме того, троян способен искусственно удерживать экран смартфона активным, подсвечивая всего один пиксель. Для пользователя это практически незаметно, однако Android воспринимает приложение как выполняющее важную задачу и не прекращает его работу.

Ещё одна особенность — так называемый механизм взаимного восстановления служб. Вредонос запускает два отдельных процесса, которые постоянно контролируют друг друга. Если один из них будет остановлен, второй автоматически запустит его снова. Такой подход значительно усложняет удаление вируса.

Где уже зафиксированы атаки

По имеющейся информации, сначала RedHook использовался для атак на пользователей во Вьетнаме. Позднее злоумышленники расширили географию распространения, начав кампании в Индонезии.

Эксперты не исключают, что со временем подобные схемы могут появиться и в других странах.

Как защитить смартфон

Специалисты рекомендуют соблюдать несколько простых правил:

• скачивать приложения только из официального магазина Google Play;
• не устанавливать APK-файлы, полученные по ссылкам из сообщений, писем или мессенджеров;
• не переходить по подозрительным ссылкам, даже если отправитель представляется сотрудником банка или службы поддержки;
• внимательно проверять, какие разрешения запрашивает приложение;
• регулярно обновлять Android и установленные приложения до актуальных версий.

Эксперты подчёркивают, что именно осторожность пользователя остаётся главным способом защиты от подобных угроз, поскольку большинство подобных атак начинается с попытки убедить человека самостоятельно установить вредоносное приложение.