В марте 2024 года специалисты компании Group-IB выявили новую семейство вредоносных программ — Qwizzserial, которое быстро приобрело статус одной из самых серьёзных киберугроз в Узбекистане. В первую очередь пострадали пользователи Android, подвергшиеся атакам с использованием сложных техник социальной инженерии и современных методов перехвата данных.
Механизмы работы и распространения Qwizzserial
Qwizzserial представляет собой перехватчик SMS-сообщений, предназначенный для хищения конфиденциальной информации, включая банковские реквизиты и коды двухфакторной аутентификации (2FA). Особенность вредоносной программы — активное взаимодействие с командно-диспетчерской инфраструктурой через Telegram-ботов, которые выступают основным каналом распространения вредоносных приложений.
Для обмана пользователей и повышения доверия Qwizzserial использует следующие методы:
- маскировка под легитимные приложения под обманчивыми названиями, такими как «Это ваши фотографии?» или «Поддержка президента»;
- создание поддельных Telegram-каналов, выдающих себя за официальные государственные структуры и тем самым увеличивающих охват целевой аудитории.
Масштабы заражений и последствия
По оценкам Group-IB, за период с середины марта по середину июня 2025 года было заражено около 100 000 пользователей, что привело к финансовым потерям на сумму свыше 62 000 долларов США. Это значительный ущерб для локального рынка, учитывая высокую скорость распространения вредоносного ПО.
Технологические особенности Qwizzserial
Вредоносная программа основана на достаточно простой кодовой базе, написанной на Kotlin, что облегчает её исследование и анализ. Основные технические характеристики включают:
- запрос расширенных разрешений, связанных с SMS и телефонными звонками, с настойчивым повторением попыток добиться их предоставления;
- сбор личных данных пользователей, включая номера телефонов и банковские карты, которые передаются злоумышленникам через Telegram Bot API;
- использование широковещательных приемников для мониторинга входящих SMS, особенно содержащих значения денежных сумм и OTP-коды для банковских операций;
- отличие от подобных угроз, таких как Classiscam, в отказе от традиционных фишинговых методов и акценте на создание и распространение вредоносных APK-файлов;
- отправка USSD-запросов для получения сервисных данных, включая номер телефона, с помощью жестко запрограммированных команд, ориентированных на узбекские мобильные сети;
- использование улучшенных методов сохранения активности в фоне за счёт обхода систем оптимизации заряда батареи.
Адаптивность и устойчивость угрозы
Инфраструктура Qwizzserial продолжает эволюционировать, демонстрируя высокую устойчивость к изменениям пользовательского поведения и мерам безопасности. Мониторинг заражений выявил закономерности, соответствующие правилу Парето: большая часть случаев инфицирования приходится на небольшой набор основных вариантов вредоносного ПО.
Рекомендации по защите пользователей
Для снижения рисков заражения и ущерба от Qwizzserial экспертами Group-IB рекомендуются следующие меры:
- воздержаться от установки приложений, распространяемых через ненадёжные платформы и мессенджеры;
- загружать приложения исключительно из авторитетных источников, таких как Google Play Store;
- проявлять бдительность и осторожность в отношении потенциальных фишинговых сообщений и подозрительных запросов;
- использовать комплексные средства защиты и регулярно обновлять программное обеспечение;
- следить за активностью на банковских счетах и немедленно реагировать на подозрительные операции.
В условиях быстрого развития киберугроз, подобных Qwizzserial, _информированность_ и _принятие проактивных мер_ играют ключевую роль в защите финансовой и личной информации.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
Оригинал публикации на сайте CISOCLUB: "Анализ угрозы Qwizzserial: перехват SMS и кража данных в Узбекистане".
Смотреть публикации по категориям: Новости | Мероприятия | Статьи | Обзоры | Отчеты | Интервью | Видео | Обучение | Вакансии | Утечки | Уязвимости | Сравнения | Дайджесты | Прочее.
Подписывайтесь на нас: VK | Rutube | Telegram | Дзен | YouTube.