Под атакой «Крестного отца». Троян угрожает банковским приложениям и криптокошелькам

Компания Group-IB, которая специализируется на исследовании высокотехнологичной преступности и защите от кибератак, зафиксировала активность банковского Android-трояна Godfather. В сообщении на сайте группы говорится, что этот вирус атакует пользователей популярных финансовых сервисов, однако пока обходит стороной пользователей из России и стран СНГ.

География жертв «Крестного отца» охватывает уже 16 стран мира, а список объектов насчитывает более 400 различных банков, криптовалютных бирж и электронных кошельков. Как отметили эксперты Threat Intelligence, широкому проникновению Godfather способствовало то, что он распространялся через официальный магазин Google Play под видом легальных криптоприложений.

Согласно исследованию Group-IB, наибольшая интенсивность атак была зафиксирована в США, Турции, Испании, Канаде, Франции и Великобритании. При этом Godfather обходит стороной пользователей из России и СНГ: если настройки системы содержат русский или один из языков стран СНГ, троян прекратит свою работу. «Предположительно, разработчиками Godfather являются русскоязычные злоумышленники», — отмечают в Group-IB.

Новый старый троян

Впервые активность мобильного банковского трояна Godfather, похищающего учетные данные клиентов банков и криптобирж, была зафиксирована в июне 2021 года. Год спустя активность трояна вдруг прекратилась — его операторы «залегли на дно». Однако в сентябре 2022 года Godfather вернулся — уже с измененным функционалом.

Как выяснили аналитики Group-IB Threat Intelligence, в основе Godfather лежит одна из версий хорошо известного банковского трояна Anubis, чей исходный код был слит еще в 2019 году. С выходом новых версий Android многие из возможностей Anubis перестали функционировать, однако его не стали списывать со счетов. Исходный код Anubis был взят за основу разработчиками Godfather, его модернизировали под более новые версии Android, а также усилили механизмы противодействия обнаружению средствами антифрода.

Как защититься?

Пользователям криптокошельков и банковских приложений эксперты Group-IB рекомендуют:

• всегда проверять наличие обновлений на мобильном устройстве: более новые версии Android менее уязвимы к подобным атакам;
• не загружать приложения со сторонних источников, кроме Google Play (однако даже Google Play не является гарантией безопасности), а также проверять запрашиваемые приложением права до его установки;
• не давать слишком много прав приложению и всегда проверять, какие права оно требует для своей работы (в случае с трояном Godfather все его коммуникации с сервером выполняются только после выдачи доступа к AccessibilityService);
• не посещать посторонние и подозрительные ресурсы;
• не переходить по ссылкам из СМС-сообщений.