Acronis разкрива сложен шпионски софтуер, маскиран като легитимна апликация

Изследователи от Acronis Threat Research Unit (TRU) откриха измамна кампания, насочена към граждани на Израел чрез модифицирана версия на Red Alert – приложение, което предупреждава за наближаващи ракетни обстрели. Целта на атаката е кражба на лични данни чрез мобилния телефон.

Как работи измамата

Атаката започва с обикновено SMS съобщение, което изглежда като изпратено от Home Front Command. В текста се твърди, че има технически проблем с текущата версия на приложението и се предоставя линк за „обновление“.

Потребителят инсталира приложението, което на пръв поглед функционира нормално и показва реални предупреждения за ракети, за да остане незабелязано. Всъщност то съдържа злонамерен код, който работи във фонов режим и събира чувствителна информация.

Дълбока кражба на данни

Според Acronis, приложението изисква 20 разрешения, включително шест високорискови. След предоставяне на достъп, софтуерът може да:

• проследява GPS локацията на потребителя

• чете лични съобщения, включително еднократни пароли

• събира списъци с контакти

• идентифицира всички инсталирани приложения

• извлича акаунти от устройството, като Google или имейл

Събраните данни се изпращат на отдалечен сървър, а създателите на приложението използват спуфинг на сертификати, за да го направят да изглежда легитимно и дори „инсталирано от Google Play“.

История на подобни кампании

Acronis отбелязва, че използването на геополитически събития за измами е част от модел, наблюдаван при предишни кампании:

• Януари 2026: Китайско свързана група Mustang Panda използва фалшиви документи за атаки срещу Венецуела.

• Февруари 2026: Кампания Crescent Harvest атакува ирански протестиращи чрез документи с шпионски софтуер.

• Октомври 2023: Pro-Palestinian AnonGhost компрометира Red Alert, изпращайки фалшиви предупреждения за ракети и дори ядрени атаки.

В настоящия случай (открит на 1 март 2026 г.), изследователите смятат, че Arid Viper (APT-C-23) стои зад атаката, съдейки по използваните методи.

Измамата показва рисковете при доверие на приложения за спешни ситуации и подчертава необходимостта от:

• внимателна проверка на източниците на мобилни приложения

• обучение за разпознаване на фалшиви актуализации

• засилена киберсигурност в мобилните платформи

Това е пореден пример как киберпрестъпници използват кризи и спешни ситуации, за да заразят устройства и да събират лични данни.