Китайские хакеры атакуют тысячи Android-смартфонов: что нужно срочно предпринять

Исследователи безопасности из компании Zimperium недавно обнаружили и представили информацию о новой пугающей вредоносной программе для Android — RatHat, пишет bgr.com.

Это программа с элементами ИИ, которая маскируется под легитимные приложения (например, Google Chrome). После установки и запуска вредоносное ПО запрашивает права администратора; при их получении она активирует инструменты разработчика и получает доступ к оболочке ADB. Затем она устанавливает ИИ-агента, который работает в фоновом режиме, отслеживает действия пользователя и собирает конфиденциальные данные, передавая их удаленным хакерам (вероятно, находящимся в Китае) через прокси-клиент.

Это довольно сложная схема, включающая множество скрытых процессов, но особенно тревожит то, что после активации вредоносная программа никак не выдает своего присутствия большинству пользователей. Она просто работает в фоновом режиме, похищая имена учетных записей, пароли, коды двухфакторной аутентификации и другие крайне важные данные, включая сообщения, фотографии и многое другое.

Существуют два основных способа защиты от RatHat (при условии, что устройство еще не было скомпрометировано). Программа распространяется преимущественно через "смишинг" (фишинговые сообщения в SMS или мессенджерах) и кампании по "малвертайзингу" (вредоносной рекламе), имитирующие сайты для загрузки сторонних приложений. Например, пользователь может наткнуться на сайт, копирующий дизайн Google Play Store. Риски можно снизить, если не устанавливать приложения из неизвестных источников, не переходить по ссылкам на скачивание программ в сообщениях и пользоваться только официальным магазином Google Play Store. Кроме того, такие сервисы, как Google Play Protect, или антивирусные приложения (например, Malwarebytes Mobile Security) помогут выявить потенциально опасные источники еще до установки чего-либо.

Как быть с телефонами, уже зараженными RatHat

Если на устройстве уже установлено скомпрометированное приложение, то RatHat крайне сложно обнаружить и изолировать. Существует лишь один способ узнать, работает ли эта программа на телефоне: использовать антивирусное ПО или инструменты для борьбы с вредоносным кодом — например, Malwarebytes Mobile Security. Среди других вариантов можно назвать Bitdefender Total Security, ESET Home Security Essential и Avira Prime.

Однако стоит учесть важный нюанс. Хотя надежные антивирусные программы способны обнаружить RatHat, удалить его не так просто. Это ПО умеет маскироваться, менять поведение, чтобы оставаться незамеченной, и получать права администратора; поэтому единственный способ полностью избавиться от нее и безопасно пользоваться телефоном в дальнейшем — это сброс устройства до заводских настроек.

Сброс до заводских настроек рекомендуется практически для любого устройства, подвергшегося подобному заражению, даже после очистки с помощью антивирусного ПО. Тем не менее, это не универсальное средство от всех типов вирусов и инфекций: некоторые скомпрометированные приложения и фрагменты кода могут сохраняться даже после сброса.

Если соблюдать основные правила безопасности Android, то можно обеспечить надежную защиту. Эти рекомендации предписывают держать включенной функцию Google Play Protect для проверки приложений, использовать режим безопасного просмотра в Google Chrome, регулярно проверять и ограничивать разрешения приложений (особенно перед их предоставлением новым программам) и применять другие разумные меры предосторожности.

Как избежать заражения RatHat

Поскольку на начальном этапе RatHat распространяется под видом легальных источников установки (например, сторонних магазинов приложений), то главная линия обороны — отказ от установки приложений за пределами Google Play. "Не переходите по ссылкам, полученным в SMS или личных сообщениях в других приложениях. Не нажимайте на подозрительные ссылки в социальных сетях или на других сайтах, а если все же перешли по ним — ни в коем случае не устанавливайте ничего, что предлагает система вашего устройства", — пишут авторы.

Чтобы не попасть на поддельный сайт, обращайте внимание на URL-адрес. Если адрес выглядит нестандартно или вызывает сомнения, не скачивайте ничего и сразу покиньте страницу. Чтобы избежать зараженных приложений, устанавливайте их только из официального магазина Google Play, держите включенной функцию Google Play Protect и не используйте установку из неизвестных источников (так называемый sideloading). Если вам предлагают скачать приложение, которое у вас уже установлено (например, еще одну копию Google Chrome), лучше этого не делать. Как бы пугающе это ни звучало, в Google Play все же можно встретить скомпрометированные или вредоносные приложения. Именно поэтому крайне важны такие средства защиты, как Google Play Protect, а также дополнительные инструменты для борьбы с вирусами, говорится в статье.

"Наконец, даже если вы случайно установите скомпрометированное приложение, процесс слежки не начнется, пока вы его не откроете или не предоставите ему соответствующие разрешения. Никогда не соглашайтесь на запросы разрешений от новых приложений и уж тем более не предоставляйте их программам, которые вам не знакомы или вызывают подозрения. Существуют разрешения, которые ни в коем случае не следует предоставлять приложениям. В Android также предусмотрена встроенная функция для проверки и изменения разрешений, предоставленных ранее. Отзыв разрешений не поможет, если RatHat уже получил права администратора, однако об этой мере все равно стоит помнить на будущее", — заключили авторы.