Привет, с вами снова отдел реагирования и цифровой криминалистики Angara MTDR. Наш эксперт Александр Гантимуров, руководитель направления обратной разработки Angara MTDR, исследовал вредоносные APK-файлы, которые активно используют злоумышленники в социальных сетях и мессенджерах под видом срочной распродажи личных вещей.

Результаты исследования

Переданные на исследование APK-файлы незначительно отличаются по размеру и представляют собой ВПО семейства Mamont для Android. Зловреды предназначены для скрытного получения и отправки сообщений, сбора информации о заражённом устройстве, отправки USSD-команд, просмотра уведомлений и открытия произвольных URL.

Backdoor.Android.Mamont.12 (Mamont)

При открытии вредоносное приложение запрашивает доступ к получению и отправке SMS, а также к звонкам и камере.

После предоставления всех запрашиваемых разрешений открывается фишинговая страница, которая указана в настройках при создании приложения. В нашем случае открывается имитация сервиса по обмену изображениями. Такие ресурсы могут собирать пользовательские учётные данные.

В других случаях приложение может использовать вполне легитимный сайт, чтобы не вызывать подозрений у пользователя.

Разрешения

На заражённом устройстве вредоносное приложение получает следующие разрешения:

 Защита от исследования

Для сокрытия вредоносного функционала и усложнения исследования все основные строки в приложении зашифрованы при помощи obfuse.NPStringFog.

После расшифровки они выглядят следующим образом:

Конфигурация

Основные настройки для осуществления деятельности хранятся в классе BuildConfig.

В большинстве случаев конфигурация хранится в открытом виде.

Дополнительно на удалённый сайт отправляется информация о работе приложение через класс RemoteLogger. URL для отправки также указан в открытом виде.

Кроме этого, в коде приложения реализован EnhancedRemoteLogger, который также может отправлять информацию, но в исследуемой нами версии ВПО он никак не используется.

Команды

Всё взаимодействие злоумышленника с удалённым сервером происходит через retrofit2. Команды и результаты работы отправляются в формате JSON.

Злоумышленник может отправлять следующие команды:

· refresh_sms — отправить SMS на удалённый сервер;

· get_permissions_status — отправить список доступных разрешений;

· check_online — сообщить о доступности через интернет;

· send_ussd — отправить USSD на указанный номер;

· send_sms — отправить SMS на указанный номер;

· open_link — открыть указанный URL во встроенном браузере;

· delete_sms — удалить указанную SMS.

Особенности

В коде приложения есть отладочные комментарии и сообщения на русском языке.

В API для взаимодействия с удалённым сервером злоумышленника реализован метод uploadVerificationData, который в настоящее время никак не используется.

Судя по коду, подразумевается, что в перспективе злоумышленнику будут отправляться сведения о номере паспорта, дате рождения и информация об устройстве.

Кроме того, в коде приложения выявлены следующие неиспользуемые строки:

Это также говорит о планах по дальнейшему расширению функционала ВПО и добавлению возможности «пройти верификацию». Видеоматериалы с лицом пользователя могут использоваться для создания фишинговых сообщений и дальнейшего распространения.

Индикаторы компрометации

Yara

rule malware_android_Mamont_12 {
meta:
  description = "[ Malware ] Detected Mamont malicious APK"
  author = "Gantimurov/Angara MTDR"
  date = "2025-11-20"

tlp = "WHITE"

  score = 100

  hash = "05c8202b2570a86b47a7eca8db77e0d7"

strings:
    $s1 = "com.jaconda.infowebseq" wide
    $m1 = "HeadlessSmsSendService" wide
    $m2 = "SMSActivity" wide
    $m3 = "PermissionHandlerActivity" wide
    $m4 = "SMSReceiver" wide
    $m5 = "SecretCodeReceiver" wide
    $p1 = "android.provider.Telephony.SECRET_CODE" wide
    $p2 = "android.permission.SEND_RESPOND_VIA_MESSAGE" wide
    $p3 = "android.permission.BROADCAST_WAP_PUSH" wide

condition:
  uint32be(0) == 0x504B0304 and // Android APK
  ($s1 or ( all of ($m*) and all of ($p*)))
}

Итоги

Изучение данного вредоноса показало, что злоумышленники готовятся к широкомасштабной кампании по сбору персональных данных и последующему их использованию. Эксперты Angara MTDR настоятельно рекомендуют:

- отключить автозагрузку файлов в Telegram и проверять формат файлов перед их скачиванием;

- не устанавливать APK-файлы из сторонних источников, чатов и мессенджеров;

- перед скачиванием файлов в форматах «.docx», «.xlsx» и «.pdf» проверять их на специальных сервисах, например на VirusTotal;

- установить и использовать антивирусные приложения на мобильном устройстве.