😂 Немного вирусологии, а точнее реверс-инжиниринга.
Вы тоже, скорее всего, получали этой весной в Telegram странные сообщения от друзей по типу “смотри, это ты?” вместе с APK-файлом.
Я решил разобрать один из таких “подарков”. Не то чтобы я гуру реверса, но стало интересно посмотреть, что у него внутри и как он работает. Малварь оказался довольно примитивным, почти без обфускации, сделан по учебнику.

APK маскировался под приложение “Видео (317)”, а внутри сидел полноценный Android-троян. Приложение запрашивает все критически опасные разрешения: читать и отправлять SMS, перехватывать уведомления, получать доступ к данным SIM-карт, управлять звонками, запускаться после перезагрузки и собирать информацию об устройстве(скрины). В пакете 'com.example.researchapp' -- почти полный набор компонентов для ботнета:
сервисы для отправки SMS без ведома пользователя, перехватчики входящих сообщений, обработчики команд, сборщики информации и автозапуск.
Троян регулярно связывается с сервером, получает команды и, при необходимости, может выполнять действия на устройстве от имени пользователя.

Самое интересное "то адрес панели управления был спрятан под AES-шифрованием, но расшифровывался без особых проблем. В итоге реальный C2 оказался здесь: http://62[.]60[.]226[.]104:5000 .
Порт снаружи не отвечает, скорее, он открыт локально и запросы просто блокируется firewall-ом. Если коротко, то С2 живой.

Также в коде попалась забавная строка 'https://www[.]pornhub[.]com/'😂 Она никак не используется - просто оставленная злодеем заглушка или "шутка". На работу трояна это не влияет, но чувство юмора автора норм.

В целом это действительно рабочая малварь, но собранная без какого-то большого опыта. Логика прозрачная, архитектура простая, связь с сервером прямолинейная, защита минимальная. Тем не менее разобрать её было любопытно, а заодно полезно увидеть, как подобные вещи устроены изнутри.

Подписывайся на 127.0.0.1