Исследователям из Лаборатории Касперского удалось задетектить новую вредоносную ПО LianSpy для Android, нацеленную на российских пользователей, которая оставалась незамеченной с июля 2021 года.

LianSpy способна эффективно блокировать функции безопасности Android и имеет обширные возможности для поддержания скрытности, выдавая себя за Alipay или системную службу, избегая при этом обнаружения.

Вредоносная программа реализует root-права на устройстве, что позволяет делать снимки экрана, красть файлы и собирать журналы вызовов.

LianSpy использует двоичный файл su с измененным именем для получения root. Проанализированные образцы вредоносного ПО пытаются найти двоичный файл mu в каталогах su по умолчанию.

Получение прав суперпользователя с такой сильной зависимостью от измененного двоичного файла предполагает, что шпионское ПО, вероятно, было доставлено посредством ранее неизвестного 0-day эксплойта или физического доступа к устройству.

Длинный список функций обхода блокировок включает обход Privacy Indicators на Android 12 и более поздних версиях, которая отображает индикатор в строке состояния, когда приложение записывает экран, активирует камеру или микрофон.

LianSpy обходит ее, добавляя значение cast к параметру настройки списка блокировки значков Android, в результате чего уведомления о трансляции блокируются, оставляя жертву в неведении о том, что ее экран записывается.

Кроме того, LianSpy включает в себя внушительный спектр механизмов уклонения, позволяющих скрываться на устройстве без обнаружения.

После запуска LianSpy запрашивает разрешения к наложениям экрана, уведомлениям, контактам, журналам вызовов и фоновой активности. Затем проверяет, что не запущен в среде для анализа, загружая свою конфигурацию из репозитория Яндекс.Диска.

Конфигурация хранится локально в SharedPreferences, что позволяет ей сохраняться между перезагрузками устройства.

Определяя при этом, какие данные будут использоваться в качестве целевых, интервалы времени создания скринов и извлечения данных, а также запускают ли приложения захват экрана для использования API проецирования мультимедиа.

WhatsApp, Chrome, Telegram, Facebook, Instagram, Gmail, Skype, Vkontakte, Snapchat и Discord - лишь некоторые из многих приложений, поддерживающих выборочный захват экрана, что сводит к минимуму риск обнаружения.

Украденные данные хранятся в зашифрованном по алгоритму AES виде в таблице SQL («Con001»), а затем передаются на Яндекс.Диск. Для их чтения требуется закрытый ключ RSA, что гарантирует, что доступ к ним будет иметь только злоумышленник.

Вредоносная ПО не получает команды или обновления конфигурации, но регулярно (каждые 30 секунд) выполняет проверки обновлений для получения новых параметров конфигурации.

Параметры хранятся в виде подстрок в данных конфигурации, которые сообщают вредоносной ПО, какие вредоносные действия следует выполнить на зараженном устройстве.

Еще одна функция LianSpy, повышающая скрытность, - это использование NotificationListenerService для устранения уведомлений с ключевыми фразами, такими как использование батареи или работа в фоновом режиме.

Включены жестко запрограммированные фразы для английского и русского языков. Однако данные телеметрии Лаборатории Касперского показывают, что злоумышленники, стоящие за LianSpy, в настоящее время сосредоточили свое внимание именно на российских целях.