Операторы шпионского ПО LianSpy работают через «Яндекс Диск»

Специалисты «Лаборатории Касперского» обнаружили новое шпионское ПО LianSpy, атакующее владельцев Android-смартфонов из России, однако, используемые им нестандартные подходы потенциально могут быть применены и в других регионах, говорится в сообщении компании.

Шпионский софт был обнаружен в марте 2024 года. По оценкам экспертов, оно используется с июля 2021-го. При запуске программа работает в фоновом режиме, используя права суперпользователя. Это позволяет зловреду обходить уведомления Android в статус-баре, которые показывают жертве, что в текущий момент смартфон использует камеру или микрофон.

В начале работе LianSpy проверяет разрешения на чтение контактов, журнала вызовов и работу с оверлеем; если нет — запрашивает их у пользователя. После этого программа регистрирует широковещательный приёмник Android Broadcast Receiver для получения информации о событиях в системе, отвечающий за запуск или остановку различных вредоносных задач.

LianSpy маскируется под системные приложения и финансовые сервисы, при этом атакующих не интересуют банковские данные жертв. Шпионское ПО следит за активностью пользователей, перехватывая данные журнала звонков, отправляя список установленных приложений на сервер операторов вредоноса, а также записывает экран смартфона, главным образом, при работе с мессенджерами.

LianSpy нестандартно использует права суперпользователя. Хакеры задействуют лишь малую часть доступного функционала, при этом стараются не допустить выявления вредоноса защитными решениями. К особенностям LianSpy относится использование комбинации симметричного и асимметричного шифрования, при этом асимметричным закрытым ключом владеет только атакующий.

Злоумышленники, стоящие за LianSpy, действуют скрытно и используют российский облачный сервис «Яндекс Диск» в качестве командного сервера, задействуют различные средства защиты шпионского ПО от обнаружения. По некоторым признакам можно предположить, что LianSpy внедряется после эксплуатации неизвестной уязвимости для рутования Android-устройств или при физическом доступе к телефону жертвы, отмечают эксперты.

Кто именно стоит за LianSpy, пока неизвестно.