😀😀😀😀
Вредоносное ПО FireScam обнаружено исследователями Cyfirma на веб-ресурсе, мимикрирующим под RuStore. Доменное имя страницы:

rustore-apk.github.io

Распространяемое ПО в свою очередь было замаскировано и названо "Telegram Premium", что могло заинтересовать пользователей независимо от сферы их деятельности.

Вектор атаки:
Как было упомянуто ранее, для доставки использовалась фишинговая веб-страница RuStore. При попытке загрузки приложения пользователь устанавливал программу-дроппер "GetAppsRu.apk", который впоследствии запрашивает от жертвы множество разрешений на работу с системными данными. После получения соответствующих прав устанавливается основной модуль полезной нагрузки "child.apk", который приветствует пользователя и снова запрашивает некоторые подтверждения. Финальным этапом является перенаправление жертвы на официальный сайт Telegram для прохождения авторизации. Именно в этот момент можно считать систему скомпрометированной, поскольку агент шпионского ПО был успешно установлен.

Целевой возможностью ПО является способность "перехватывать" телефонию, SMS и сообщения мессенджеров. Собранная агентом информация отправлялась на выделенный С2-сервер:

androidscamru-default-rtdb.firebaseio.com

После данные временно сохранялись в Firebase Realtime Database, фильтровались и анализировались оператором.

❗️ Помимо двух упомянутых в статье образцов специалистами направления исследований киберугроз ПМ были найдены еще 2 APK-файла со схожими названиями, связанные с сетевым индикатором "rustore-apk.github[.]io"

🟠Рекомендуем не выполнять установку приложений из неофициальных источников и внимательно проверять веб-адреса, прежде чем взаимодействовать с ними.
🟠Обнаружить угрозу возможно с помощью детектирующих правил AM Rules, поставляемых в составе продуктов ИнфоТеКС и хранящихся в базах AM Threat Intelligence Portal. #AM_Rules

IoCs:

b041ff57c477947dacd73036bf0dee7a0d6221275368af8b6dbbd5c1ab4e981b
12305b2cacde34898f02bed0b12f580aff46531aa4ef28ae29b1bf164259e7d1
6e4818fb866251dc38b62a42b630207bcdc4bacf3b04af702fb41e95de089bd2
0314c353e705f1d66b48d160f53a3440e472af8cc0a5872c8c745de29073e2cd
rustore-apk.github.io
androidscamru-default-rtdb.firebaseio.com