Ранее неизвестный Android-троян

🐶Эксперты ПМ провели комплексный анализ вредоносного APK-файла семейства Pulsar SMS Stealer — Android-трояна, маскирующегося под приложение фотогалереи «Фотографии_2920». неизвестный ранее образец не детектируется ни одним антивирусом на момент анализа. Делимся ключевыми находками.

Целью злоумышленников является полный перехват SMS-сообщений для кражи OTP/2FA-кодов и финансового мошенничества.

APK использует многоступенчатую архитектуру: внешний classes.dex содержит сильно обфусцированный загрузчик, который извлекает и динамически загружает скрытую DEX-нагрузку (3.3 МБ) из assets/NwyavbTt.csz с помощью инъекции ClassLoader. Нагрузка второго этапа содержит основную логику вредоносного ПО, включая связь с C2, перехват SMS, снятие цифрового отпечатка устройства и механизмы закрепления.

Запрашиваемые разрешения:
🟠перехват, чтение, отправка и удаление SMS-сообщений;
🟠чтение IMEI, номера телефона, информации об операторе;
🟠извлечение номеров телефонов двух SIM-карт;
🟠постоянный фоновый сервис с обходом режима Doze;
🟠автозапуск после перезагрузки устройства;
🟠полная выгрузка архива SMS на C2-сервер.

❗️Хостовые индикаторы:

MD5: 25320bb0ea1b76fff004b1bf8ba00959
SHA1: ad7d4fd3c82a6de0d94bd9b0b5c81b2cb3b573e1
SHA256: 69f37722594dae3825c4cc96bd186b1e0fcacf04d4fe7f44adcd4efce53fa1a0

Артефакты на устройстве:
Имя пакета: com.smaart.ymkcbkcy
com.smaart.ymkcbkcy/shared_prefs/app_config.xml - конфигурация MaaS-оператора 
com.smaart.ymkcbkcy/shared_prefs/device_prefs.xml - идентификатор устройства
com.smaart.ymkcbkcy/code_cache/NwyavbTt.csz - скрытый DEX 2-го этапа
com.smaart.ymkcbkcy/files/geo_state.dat - данные геолокации

❗️Сетевые индикаторы:

193.233.231[.]12 — C2-сервер
/api/collect — регистрация устройства
/api/log — эксфильтрация SMS
/cdn/t.gif - периодическое обновление статуса
/static/c/{device_id} - запрос команд на отправку SMS
/m/{build_id} - получение начальной конфигурации

HTTP Cookie: "_gid=PLS1" (PLS1-зашифрованная нагрузка)
HTTP POST: "v=1&t=event&ec=page&ea=view"
Допустимые заголовки: Content-Type, X-API-Key, X-Pulsar-Enc
User-Agent Chrome Mobile + Referer yandex.ru/vk.com + Origin google.com

Файл shared_prefs/app_config.xml содержит полную конфигурацию MaaS-инфраструктуры злоумышленника.

MITRE ATT&CK:
T1636.004 — перехват SMS
T1406.002 — упаковка ПО (скрытый DEX)
T1418 — проверка установленных приложений
T1426 — информация о модели устройства, ОС и пр.
T1521 — зашифрованный канал (PLS1)
T1398 — автозапуск при загрузке
T1625.001 — запрос роли SMS по умолчанию
TA0009 — выгрузка архива SMS
TA0010 — зашифрованный C2 с маскировкой трафика

Рекомендации для пользователей:

🟧Не устанавливайте APK-файлы из неизвестных источников. Используйте только официальные магазины приложений.
🟧Не предоставляйте приложениям права SMS по умолчанию — легитимные фотогалереи никогда не запрашивают доступ к SMS.
🟧Отключите автоскачивание файлов в мессенджерах.
🟧Проверяйте запрашиваемые разрешения перед установкой — фотоприложению не нужны SMS, телефония и интернет.
🟧При обнаружении подозрительного приложения немедленно удалите его и смените пароли от банковских приложений и сервисов с 2FA.

#AM_Rules #мониторинг_угроз