Экспертный центр безопасности Positive Technologies (PT) сообщил о выявлении новой шпионской программы DragonDoll, направленной на пользователей устройств на базе Android в более чем 26 странах, включая Россию. Это опасное программное обеспечение маскируется под официальное обновление браузера Google Chrome и было впервые обнаружено специалистами департамента Threat Intelligence весной этого года в ходе анализа атаки на пользователей из Саудовской Аравии. За последние два месяца эксперты зафиксировали около 150 образцов этой программы, пишет РБК.
Как сообщили в пресс-службе PT, DragonDoll предоставляет злоумышленникам почти полный контроль над устройством жертвы и открывает двери к краже конфиденциальных данных, включая содержание переписки в мессенджерах.
Процесс заражения начинается с посещения поддельного веб-сайта, который маскируется под официальную страницу браузера Chrome. Когда пользователь пытается обновить устройство, на него устанавливается вредоносное программное обеспечение, запрашивающее доступ к специальным возможностям системы. Это необходимо для многоэтапной установки защищённого от обратного анализа шпионского модуля.
После успешной установки программа позволяет злоумышленникам дистанционно управлять смартфоном: включать и выключать экран, фиксировать нажатия клавиш, делать снимки экрана и считывать сообщения. Более того, DragonDoll может накладывать поддельные окна интерфейса поверх легальных приложений, что дает возможность перехватывать вводимые пользователем пароли и ПИН-коды.
Это программное обеспечение обладает широкими функциональными возможностями. Оно может извлекать списки чатов и контактов из мессенджеров Telegram и WhatsApp, которые принадлежат Meta, признанной экстремистской организацией и запрещённой в России. Кроме того, программа способна считывать текст сообщений прямо с экрана и перехватывать содержимое всплывающих уведомлений.
Что касается других приложений, включая Viber, то программа собирает данные путём копирования визуальной информации с экрана. Полученные сведения шифруются и передаются на сервер злоумышленников, расположенный на российском хостинге.