Всем привет! Это отдел реагирования и цифровой криминалистики Angara MTDR. Наш эксперт Александр Гантимуров, руководитель направления обратной разработки Angara MTDR, и его коллеги продолжают исследовать новые версии вредоносных APK-файлов, которые распространяются в социальных сетях и мессенджерах. На сей раз поговорим о разнообразии коммуникаторов и изменении схем распространения впо.

Введение

С началом замедления мобильного интернета, а также в связи с проблемами, которые возникли у Telegram, пользователи популярных мессенджеров стали активно искать новые средства коммуникации. То и дело в постах мелькают названия не только национального мессенджера, но и решений, созданных для пользователей из стран Азии, Ближнего Востока и Южной Америки. Каждый из этих сервисов позиционирует себя как самый безопасный и приватный мессенджер, гарантирующий полную конфиденциальность и безопасность пользователей. По мере затруднения доступа к сообщениям в самых распространённых мессенджерах у новинок появляется всё больше российских потребителей. При этом новые клиенты, поверившие в удачный маркетинговый ход про приватность и безопасность, забывают, что вместе с ними в новые приложения переходят и «старые знакомые», хотя они и используют обновлённые схемы. Распространение ВПО в популярных мессенджерах также не забыто. Изменились лишь сценарии продвижения вредоносов. Всё чаще они подходят под любой мессенджер.

C февраля 2026 года злоумышленники повсеместно поменяли схему распространения своих вредоносных приложений. Если раньше было достаточно просто отправить APK-файл жертве в личные сообщения или групповой чат, то теперь это так просто не работает.

Telegram стал активнее блокировать массово распространяемые APK-файлы, а в мессенджере MAX APK вообще нельзя отправить. Но, как обычно бывает, есть один нюанс.

Для рассылки сообщений используются взломанные аккаунты, доступ к которым злоумышленники получили ранее через такие же вредоносные приложения.

Ещё раз пройдёмся по шагам развития атаки:

1. Пользователю приходит сообщение в мессенджер от контакта, который уже взломали.

2. В сообщении содержится эмоциональный текст на тему ДТП или смерти знакомого со ссылкой или html-cтраницей. Может использоваться сервис сокращения ссылок.
   
   - При открытии html-файла пользователь перенаправляется на вредоносный сайт или группу/канал в Telegram.

   - При открытии вредоносного сайта происходит проверка браузера пользователя. Сайт предложит скачать APK-файл, только если пользователь зашёл с Android-устройства.

   - При открытии ссылки на Telegram-канал или группу может оказаться, что канал/группа закрытые. Тогда необходимо принять приглашение, чтобы увидеть сообщения с вредоносными файлами.

3. После установки APK и предоставления всех разрешений злоумышленники получают доступ к СМС и данным на устройстве.

4. При помощи СМС злоумышленник заходит в аккаунт Telegram (или любого другого мессенджера) жертвы, чтобы повторить рассылку уже по его контактам.

5. Через подтверждающие коды СМС происходят попытки вывести денежные средства, оформить заём или купить товары в рассрочку. В последнем случае не помогает даже самозапрет на получение кредитов и займов.

6. Деньги и товары выводятся через дропов.

Распространяемое вредоносное ПО технически не отличается от ранее исследованных образцов и не представляет особого интереса.

Ключевые моменты

1. Почему присылают ссылку, а не вредоносный файл?
   Массово распространяемые APK в Telegram быстро блокируют, а мессенджер MAX вообще запрещает передачу APK-файлов. Разнообразие мессенджеров на устройствах граждан растёт. Злоумышленники обходят ограничения и унифицируют способы распространения для разных сервисов.

2. Почему пользователи устанавливают вредоносные приложения?/
   Мы уже разбирали этот вопрос в предыдущих статьях. Злоумышленники не рассчитывают на то, что каждый установит вредоносную программу. Они работают за счёт массовости и социальной инженерии — всегда найдётся тот, кто установит и даст необходимые разрешения.

3. Telegram/MAX содержит уязвимость и его взломали.
   Нет. Взломали отдельных пользователей и получили доступ к их аккаунтам. Рассылки проводятся чаще всего не с учётных записей злоумышленников, а со взломанных аккаунтов в Telegram, WhatsApp, MAX и т.д.

 При настроенном втором факторе злоумышленнику гораздо сложнее захватить аккаунт жертвы.

Рекомендации по защите

Для MAX:

1. Ограничьте видимость данных в MAX. Зайдите в настройки конфиденциальности и скройте номер телефона, статус в сети и перечень ваших групп от посторонних. Можно сразу включить безопасный режим. Это затруднит сбор данных для подготовки к атаке и рассылке сообщений.

2. Проявляйте бдительность при получении ссылок — мессенджер отображает, куда примерно они ведут. Если получили ссылку на внешний ресурс, никогда не переходите по ней сразу. Сначала подтвердите подлинность сообщения, связавшись с отправителем лично или по телефону.

3. Активируйте двухфакторную аутентификацию (2FA). Дополнительный пароль для входа станет ещё одним препятствием для взломщиков. Даже имея доступ к SMS-коду, они не смогут захватить аккаунт и использовать его для распространения фишинга среди ваших контактов.

Общие рекомендации для Telegram и Android устройств мы уже приводили в прошлой статье и они не претерпели изменения.

Для Telegram:

1. Отключите автозагрузку файлов. Для проверки файлов можно использовать бот «Доктор Веб».

2. Ограничьте видимость данных.

3. Настройте второй фактор — облачный пароль для входа.

Для Android:

1. Включите Google Play Protect, если он по каким-либо причинам выключен.

2. Поставьте антивирусное средство на телефон и периодически проводите полную проверку.

3. Не устанавливайте приложения из неизвестных источников.

4. Осторожно открывайте ссылки и по возможности проверяйте формат файлов перед открытием. Небольшие по размеру файлы можно отправить на проверку в Telegram-бот, в приложение Virustotal или сразу на сайт Virustotal.

Эти рекомендации актуальны для любого другого мессенджера, который вы установили в попытках найти самый безопасный и приватный коммуникатор. Изучите его настройки и установите запреты.

Что делать, если установили вредоносное приложение

Здесь рассмотрим базовый алгоритм удаления, применимый для всех подобных угроз. Мы его приводили в прошлой статье.

1. Включаем режим полёта — отключается интернет, СМС и звонки.

2. Перезагружаем телефон в безопасный режим (Safe mode). В зависимости от модели устройства последовательность действий может меняться, но обычно нажимаем кнопку включения, ждём логотипа и зажимаем клавишу уменьшения звука. В этом режиме все сторонние приложения будут отключены.

3. Проверяем приложения для администрирования устройства. Настройки — Защита и конфиденциальность — Дополнительные параметры — Администратор устройства. В зависимости от прошивки путь может быть другой, лучше воспользоваться поиском по словам «Администратор» или «Device admin».

4. Проверяем разрешения на доступ к Accessibility Service (Специальные возможности). Настройки — Специальные возможности — Установленные службы. Или ищем в настройках по словам «Accessibility», «Специальные возможности». В норме там не должно быть никаких приложений, особенно неизвестных.

5. Проверяем разрешения на установку приложений. Настройки — Приложения — Специальный доступ — Установка неизвестных приложений. Обычно там выданы разрешения только Google Play и RuStore.

6. Проверяем остальные разрешения — доступ к SMS, камере и местоположению. Настройки — Защита и конфиденциальность — Настройки конфиденциальности — Управление разрешениями.

7. Удаляем подозрительные приложения, которые мы нашли на предыдущих этапах. Отзыв разрешений может провоцировать приложение постоянно выдавать уведомление, что его надо включить и «донастроить», поэтому сразу удаляем источник проблем.

8. Перезагружаем.

Предыдущие публикации

Рассылаемое по ссылкам вредоносное ПО принципиально ничем не отличается от исследованного нами прежде. Чуть другая обфускация и методы взаимодействия, но ничего интересного с технической точки зрения. Поэтому мы не стали перегружать статью новым подробным разбором этих приложений. Тем не менее мы продолжаем отслеживать свежие угрозы и при появлении глобальных изменений как с точки зрения алгоритмов работы, так и мер безопасности обязательно разберём и опишем их.

Ранее по теме:

1. «Evil»-бонус от банка, или как пройти опрос и потерять все деньги — об исследовании «МирСБП»

2. Шпион в твоём кармане — об исследовании «BTMOB RAT»

3. Продам всё, что на фото. Недорого

4. Продам всё, что на фото. Недорого — часть 2