Фальшивые приложения для Android, копирующие популярные сервисы

Смартфоны  — это теперь «карманный компьютер»: мессенджеры, банковские приложения, почта, фотогалерея, документы. Неудивительно, что злоумышленники целенаправленно маскируют вредоносные приложения под знакомые и доверенные — от «альтернативных» плееров и фонариков до подделок банковских клиентов. В результате пользователь устанавливает программу, думая, что получает полезную функцию, а получает троян, шпиона или средство для кражи денег.

Как маскируются вредоносы?

1. Клонирование интерфейса — копируют дизайн и название известного приложения, иногда меняют одну букву (payy → pay).
2. Поддельные разработчики — в маркете указывают имя, похожее на реальную компанию, и добавляют фейковые отзывы.
3. Dropper / Downloader — первое приложение ставит на устройство «загрузчик», который скачивает основной вредоносный модуль позднее, чтобы обойти проверки.
4. Запрос лишних разрешений — приложение просит доступ к SMS, контактам, телефону, доступ администратора устройства.
5. Инжекция в систему уведомлений — отображают фальшивые окна поверх других приложений (overlay) для перехвата логинов/код-2FA.
6. Обфускация и шифрование кода — чтобы усложнить анализ и прохождение автоматических сканеров.

Какие типы вреддоносных подделок встречаются чаще всего?

Фальшивые банковские клиенты (banking trojans) — перехватывают логины, снимают деньги или подменяют реквизиты.

Фишинговые оболочки — отображают копию страницы входа (всплывающие окна) и собирают пароли.

Шпионы (spyware) — читают SMS, записывают звонки, крадут фото/местоположение.

RAT (удалённый доступ) — дают контроль над камерой, микрофоном, файлами.

Adware / Click-fraud — показывают навязчивую рекламу или генерируют клики для мошеннических схем.

Dropper/Loader — один модуль доставляет другие вредоносные компоненты.

Примеры из истории атак:

1. Joker (2019–2022)

• Маскировался под обычные приложения — фото-редакторы, фонарики, «чистильщики».
• Попадал даже в Google Play.
• Мог сам подписывать пользователей на платные SMS-услуги, крал SMS-коды и контакты.
• По данным Google, заражены были сотни тысяч пользователей по всему миру.

2. Anubis (2018)

• Банковский троян, распространялся через поддельные приложения.
• Умел перехватывать SMS-коды 2FA, записывать экран, отправлять данные на сервер злоумышленников.
• Жертвами стали пользователи банковских приложений более чем в 30 странах.

3. XHelper (2019–2020)

• Появлялся на устройствах даже после удаления и сброса к заводским настройкам.
• Маскировался под системное приложение.
• Использовался для загрузки других вредоносов.
• Symantec сообщала, что число заражённых превысило 45 000 устройств.

4. FluBot (2021)

• Распространялся через SMS с ссылками («ваша посылка в пути», «обновите Flash Player»).
• После установки просил права администратора и начинал рассылку новых SMS жертвам.
• Особенно сильно ударил по пользователям в Европе.

5. SharkBot (2022)

• Маскировался под антивирусные и утилитарные приложения.
• Использовал технику «Automatic Transfer System» (ATS) — мог автоматизировать перевод денег со счёта жертвы.
• В основном атаковал клиентов банков в Великобритании и Италии.

6. TeaBot (2021–2022)

• Маскировался под медиаплееры и утилиты.
• Нацелен на банки, криптокошельки и платёжные сервисы.
• Перехватывал SMS и использовал функцию Accessibility для кражи данных.

7. Fake WhatsApp / Telegram (разные годы)

• Поддельные версии популярных мессенджеров, чаще распространялись вне Google Play.
• Обещали «больше функций» (цветные темы, секретные смайлы).
• На деле — либо показывали рекламу, либо устанавливали шпионский софт.
  
  Что общего у всех случаев?
• Злоумышленники используют доверие к брендам и привычку быстро ставить «нужное» приложение.
• Вредонос может попасть даже в официальный Google Play — не спасает на 100%.
• Массовое распространение идёт через соцсети, SMS-рассылки, сторонние магазины.

Основные цели — деньги (банковские трояны), данные (шпионы) или реклама (adware).

Признаки заражения — на что обращать внимание.

1. Неожиданное появление новых приложений, которых вы не устанавливали.
2. Быстрая разрядка батареи и перегрев без видимых причин.
3. Резкий рост мобильного трафика.
4. Всплывающие окна, реклама поверх других приложений.
5. СМС с кодами, которых вы не запрашивали (возможный перехват 2FA).
6. Необычные списания с банковских карт или сообщения от банка о входах с новых устройств.
7. Блокировка доступа к важным функциям (требуют выкуп — характерно для ransomware).

Как распознать поддельное приложение до установки?

1. Проверьте разработчика — имя и профиль должны совпадать с официальным сайтом или страницей компании.
2. Количество установок и отзывы — у популярных приложений обычно миллионы установок; новые/поддельные — десятки/сотни. Но учтите: отзывы могут быть поддельными.
3. Разрешения — насторожитесь, если фонарик просит доступ к SMS или контактам.
4. Скриншоты приложения — сравните с официальной версией.
5. Сайт разработчика и ссылки — официальное приложение обычно имеет ссылку на сайт/контакты.
6. Проверяйте подпись APK (для продвинутых пользователей) — официальные приложения подписаны ключом разработчика.
7. Скачивайте только из официальных магазинов (Google Play, однако и там бывают подделки) и внимательно смотрите на маркер «Editor’s choice»/официальные метки.

Поддельные Android-приложения остаются одним из удобнейших инструментов мошенников — потому что работают с доверием пользователя. Самая сильная защита — внимательность: проверяйте источники, права, отзывы и поведение приложений; используйте встроенные и сторонние инструменты защиты; и не бойтесь удалить сомнительную программу — лучше перестраховаться, чем расплачиваться потом.

Следующий шаг - практика

Эта статья - только начало. Настоящие навыки появляются тогда, когда знания превращаются в практику. В Kraken Academy мы собрали полноценные курсы по информационной безопасности с лабораториями, практическими заданиями и пошаговыми образовательными треками - от первых шагов до уровня специалиста.

Начать обучение