Пользователь платит за аренду виртуального номера своими личными данными.
Исследователи ИБ-компании Zimperium Labs обнаружили новое шпионское ПО для Android под названием RatMilad, которое создано злоумышленниками на Ближнем Востоке и используется для слежки и кражи данных пользователей. Украденные данные могут быть использованы для доступа к частным корпоративным системам, шантажа жертвы и других злонамеренных целей.
Шпионское ПО распространяется через поддельный генератор виртуальных номеров NumRent. После установки приложение запрашивает сомнительные разрешения, а затем использует их для загрузки вредоносной полезной нагрузки RatMilad.
https://www.securitylab.ru/upload/im...t-img(550).png
Приложение NumRent, которое загружает RatMilad
Основным каналом распространения поддельного приложения является Telegram, поскольку NumRent или другие дропперы, загружающие RatMilad, недоступны в магазине Google Play или сторонних магазинах.
Операторы RatMilad также создали специальный веб-сайт для продвижения мобильного RAT-трояна, чтобы приложение выглядело более убедительно. Этот веб-сайт рекламируется в Telegram и других соцсетях.
https://www.securitylab.ru/upload/im...t-img(551).png
Сайт NumRent
После установки на устройство жертвы RatMilad крадет следующие данные:<ul><li>Основная информация об устройстве (модель, марка, buildID, версия Android);</li>
</ul><ul><li>MAC-адрес устройства;</li>
</ul><ul><li>Список контактов;</li>
</ul><ul><li>СМС;</li>
</ul><ul><li>Журналы вызовов;</li>
</ul><ul><li>Имена учетных записей и разрешения;</li>
</ul><ul><li>Список установленных приложений и разрешения;</li>
</ul><ul><li>Данные буфера обмена;</li>
</ul><ul><li>GPS-данные о местоположении;</li>
</ul><ul><li>Информация о SIM-карте (номер, страна, IMEI, регион);</li>
</ul><ul><li>Список файлов и их содержимое.</li>
</ul>RatMilad может выполнять действия с файлами, такие как:<ul><li>Удаление и кража файлов;</li>
</ul><ul><li>Изменение разрешений приложения;</li>
</ul><ul><li>Использование микрофона устройства для записи звука.</li>
</ul>
Шпионское ПО RatMilad предназначено для бесшумной работы в фоновом режиме, не вызывая подозрений. По словам экспертов, операторы RatMilad получили исходный код из Telegram-канала AppMilad . Исследователи Zimperium сделали вывод, что операторы RatMilad атакуют случайные цели и не проводят целевые кампании.