«Лаборатория Касперского» изучила активность мобильных троянов, специализирующихся на скрытых подписках на платные услуги: большинство пользователей, столкнувшихся с такой малварью в 2021 — 2022 годах, по данным компании, находилось в России (27,32%).
Исследователи пишут, что чаще всего в результате действий малвари со счета пользователя без его ведома снимается оплата за различные легитимные услуги, а злоумышленники получают за это определенный процент. Однако бывает и так, что подобные вредоносы оформляют подписку на «услуги» самих атакующих.
Среди троянов, получивших распространение в России, эксперты отмечают MobOk, GriftHorse.l и GriftHorse.ae.
MobOk, попав на устройство, запрашивает доступ к SMS или push-уведомлениям. Это позволяет ему перехватывать коды подтверждения для оформления подписки. Далее в невидимом окне открывается страница подписки и в нее подставляется код подтверждения. MobOk умеет обходить тест CAPTCHA: для распознавания кода на картинке троянец отправляет ее на специальный сервис.
Троян GriftHorse.l, в свою очередь, примечателен тем, что оформляет подписку на «услуги» самих злоумышленников — такое случается, если потенциальная жертва пропустит или невнимательно прочитает пользовательское соглашение.
Малварь распространяется через Google Play, например под видом приложения, якобы предлагающего составить индивидуальный план похудения всего за 29 рублей. Но если прокрутить страницу оплаты, можно увидеть, что доступ к «сервису» предоставляется по подписке с использованием автоплатежа, а не разовой оплаты. В комментариях к приложению пользователи жалуются, что отменить оформленную подписку невозможно, а некоторые отмечают, что не получили услугу после оплаты.
Еще один троян, GriftHorse.ae, хотя и относится к тому же семейству, ведет себя иначе. Малварь выдает себя за приложения для восстановления удаленных файлов, редактирования фотографий и видео, моргания вспышкой при входящем звонке, навигации, сканирования документов. Однако единственное, что умеют эти программы, — запрашивать номер телефона якобы для входа и оформлять подписку при нажатии кнопки «Войти». Подписка оплачивается с мобильного счета, поэтому для ее оформления достаточно номера телефона. Распространяется GriftHorse.ae также через официальный магазин приложений Google.
«Несмотря на то, что подписки, на которые оформляют пользователей, могут быть недорогими, такую угрозу не стоит недооценивать. Если злоумышленники получат доступ к СМС или push-уведомлениям, данные владельца устройства окажутся под угрозой. Чтобы не попасться на удочку злоумышленников, мы рекомендуем оставаться внимательными: прочитать пользовательское соглашение прежде, чем оплачивать какую-либо услугу, и использовать надежное защитное решение, в том числе на мобильных устройствах», — отмечает Игорь Головин, исследователь мобильных угроз в «Лаборатории Касперского».
