Хакер #311. Сетевые протоколы под микроскопом
Специалисты «Лаборатории Касперского» обнаружили новую версию малвари Triada. Вредонос был найден на новых Android-устройствах — подделках под популярные модели различных смартфонов. По данным компании, только с 13 по 27 марта 2025 года с новой версией Triada столкнулись более 2600 пользователей в разных странах, но большинство жертв находятся в России.
Эксперты пишут, что новая версия Triada распространяется в прошивках зараженных Android-устройств и находится в системном фреймворке. Это означает, что вредонос может проникнуть в каждый процесс на смартфоне жертвы.
Малварь обладает широкой функциональностью и дает злоумышленникам почти неограниченные возможности по контролю над гаджетом, например, он способен:
- угонять аккаунты пользователей в мессенджерах и социальных сетях, в частности в Telegram и TikTok;
- скрытно отправлять сообщения якобы от лица жертвы в WhatsApp и Telegram, а также удалять их для затирания следов;
- красть криптовалюту, подменяя адреса криптокошельков в нужных приложениях;
- следить за активностью жертвы в браузерах и подменять ссылки;
- подменять номера во время звонков (чтобы перенаправлять абонента на нужный злоумышленникам контакт);
- контролировать SMS (перехватывать, отправлять и удалять сообщения);
- разрешать отправку премиум-SMS для получения платных услуг;
- скачивать и запускать другие программы на зараженном смартфоне;
- блокировать сетевые соединения, например, чтобы мешать работе антифрод-систем.
«Троянец Triada известен давно, он все еще остается одним из наиболее сложных и опасных среди угроз для Android. Его новая версия проникает в прошивки смартфонов еще до того, как гаджеты попадают в руки пользователей. Вероятно, на одном из этапов цепочка поставок оказывается скомпрометированной, поэтому в магазинах могут даже не подозревать, что продают смартфоны с Triada. При этом авторы новой версии Triada активно монетизируют свои усилия. Судя по анализу транзакций, они смогли перевести порядка 270 000 долларов в разной криптовалюте на свои криптокошельки. Однако в реальности эта сумма может быть больше, злоумышленники также были нацелены на Monero — криптовалюту, которую невозможно отследить», — комментирует Дмитрий Калинин, эксперт по кибербезопасности в «Лаборатории Касперского».
Отмечается, что зараженные смартфоны можно приобрести в неавторизованных онлайн-магазинах, но не уточняется, в каких именно. Также не сообщается, какие модели смартфонов имитируют такие подделки.
Напомним, что исследователи не первый раз предупреждают о том, что Triada может предустанавливаться на Android-устройства, которые в итоге оказываются заражены прямо «из коробки».
К примеру, еще в 2018 году специалисты «Доктор Веб» предупреждали об обнаружении 42 моделей бюджетных Android-смартфонов, зараженных Triada. А в 2023 году о предустановленной на различные устройства малвари сообщал независимый ИБ-исследователь Даниэль Милишич (Daniel Milisic).
Как правило, в таких случаях речь идет о бюджетных устройствах и гаджетах весьма сомнительного происхождения. Поэтому специалисты рекомендуют покупать смартфоны только у авторизованных продавцов, а также устанавливать защитные решения для дополнительной безопасности.
