Приложения вредоносного характера, используемые для шпионской деятельности, были обнаружены как в Google Play Store, так и в Samsung Galaxy Store. Бразилия входит в число мест, затронутых этой угрозой.

Приложения Signal Plus Messenger и FlyGram представляют собой вредоносные варианты известных платформ обмена сообщениями Signal и Telegram и содержат шпионское ПО под названием BadBazaar.

По данным ESET, компании, специализирующейся на кибербезопасности, которая выявила эту угрозу, приложения, связанные с китайской хакерской группой APT GREF, использовали открытый исходный код платформ Signal и Telegram. Они воссоздали приложения, намеренно включив в них вредоносный шпионский код.

Бразилия в списке

Помимо Бразилии, пострадали и другие страны: Дания, Демократическая Республика Конго, Германия, Гонконг, Венгрия, Литва, Нидерланды, Польша, Португалия, Сингапур, Испания, Украина, США и Йемен.

По данным Bleeping Computer, приложение FlyGram присутствует в Google Play Store с июля 2020 года и было удалено в январе 2021 года. За этот период его установили около 5.000 человек. На момент написания этой статьи приложение по-прежнему доступно в магазине Samsung Galaxy Store.

В июле 2022 года приложение Signal Plus Messenger стало доступно в магазинах Google и Samsung. Однако в мае Google решила удалить его. Тем временем в Galaxy Store приложение остается доступным для скачивания.

Как работают вредоносные приложения?

Эксперты поясняют, что целью этих приложений является получение персональных данных пользователей. В примере FlyGram была отмечена возможность сбора такой информации, как список контактов, история звонков и данные из аккаунта пользователя в Telegram.

Когда пользователи активировали функцию резервного копирования и восстановления данных Telegram, удаленный сервер, находящийся под контролем злоумышленников, смог получить информацию об активности платформы социальных сетей.

По оценке ESET, около 13.953 XNUMX учетных записей приложений FlyGram активировали функцию резервного копирования и восстановления данных. Однако общее количество пользователей подделанной версии Telegram публично не разглашается.

Вредоносная версия Signal, в свою очередь, собирала аналогичную информацию, но ее основной целью было слежение за сообщениями, проводимыми через платформу обмена сообщениями. Это включало извлечение PIN-кодов, используемых для защиты учетных записей Signal.