Нов Android троян на име Sturnus представлява сериозна заплаха, като може да засича комуникации от приложения с end-to-end криптиране като Signal, WhatsApp и Telegram, и да поеме пълен контрол над устройството.

• Троянът е все още в процес на разработка, но вече е пълнофункционален.

• Насочен е към банкови акаунти в Европа, използвайки регионално специфични overlay шаблони.

• Комуникацията с командния сървър (C2) използва комбинация от plaintext, RSA и AES криптиране.

Пълен контрол над устройството

Според доклад на ThreatFabric, Sturnus може да:

• Краде съобщения от защитени приложения чрез достъп до съдържанието на екрана след дешифриране.

• Краде банкови данни чрез HTML overlay екрани.

• Поддържа реално време дистанционно управление чрез VNC сесия.

Инфекцията започва чрез APK файлове, маскирани като легитимни приложения като Google Chrome или Preemix Box.

След инсталация троянът:

• Свързва се с C2 инфраструктурата чрез криптографски обмен.

• Създава HTTPS канал за командване и източване на данни и AES-криптиран WebSocket канал за VNC операции.

• Използва Accessibility Services, за да наблюдава и взаимодейства с интерфейса, включително въвеждане на текст, натискане на бутони и скролиране.

• Получава Android Device Administrator права, блокирайки опити за премахване или деинсталиране.

Заобикаляне на криптирането

Sturnus е особено опасен, защото заобикаля end-to-end криптиране:

• Чете съобщения след като са дешифрирани от легитимното приложение.

• Събира пълни разговори, имена на контакти и съдържание на съобщения в реално време.

С VNC режим, нападателите могат да извършват скрити действия като:

• Преводи на пари от банкови приложения

• Потвърждаване на диалози и многофакторна автентикация

• Смяна на настройки или инсталиране на нови приложения

За прикриване на злонамерената активност се използват фалшиви overlay екрани, например за Android системна актуализация.

Текущо разпространение и препоръки

• Sturnus се наблюдава в Южна и Централна Европа, главно за тестови цели.

• Въпреки това архитектурата му е готова за мащабиране, което го прави потенциално опасен в големи кампании.

Препоръки за потребителите:

• Избягвайте изтегляне на APK файлове извън Google Play.

• Поддържайте Play Protect активен.

• Не предоставяйте Accessibility права, освен ако е абсолютно необходимо.