Исследователи компании Zimperium сообщили о возвращении Android‑трояна ClayRat и резком усилении его возможностей. Если изначально вредонос относился к классу инфостилеров и ограничивался кражей СМС и журналов звонков, то новая версия превратилась в полноценный шпионский комплекс. Аналитики лаборатории zLabs отмечают, что обновлённый ClayRat не только расширил сбор данных, но и начал активно сопротивляться попыткам удаления с устройства.
Главное изменение связано с использованием сервисов специальных возможностей Android, изначально предназначенных для помощи людям с ограничениями по зрению и моторике. ClayRat запрашивает к ним доступ, после чего получает техническую возможность управлять интерфейсом устройства. Это даёт трояну право считывать нажатия клавиш, отслеживать ввод PIN‑кодов и паролей, а также автоматически снимать блокировку экрана. Фактически смартфон оказывается под внешним управлением.
Особое беспокойство специалистов вызывает защитное поведение трояна. При попытке удалить вредоносное приложение ClayRat блокирует нажатия пользователя и имитирует касания по системным кнопкам, мешая добраться до настроек деинсталляции или даже корректно выключить смартфон. Параллельно на экран накладываются фальшивые оверлеи, по виду напоминающие системные окна обновления или служебные уведомления. Это затрудняет ориентацию в интерфейсе и скрывает реальные действия трояна.
По данным Zimperium, обновлённый ClayRat также использует API записи экрана, перехватывает ответы на уведомления и подменяет их, что позволяет воровать одноразовые коды аутентификации и вмешиваться в переписку. Аналитики подчёркивают, что подобные техники демонстрируют быстрое усложнение мобильных угроз и ограниченность классических мер защиты, основанных только на сигнатурах и ручном контроле приложений, сообщает anti-malware.ru.
Читайте также: