Фальшивый Google Play ставит Android-шпиона который крадет SMS и сам перенаправляет звонки

Поддельные страницы оформлены с использованием названий логистических компаний CEVA и TKW Logistics. Посетителю предлагают скачать APK-файл и установить его вручную. После запуска Corp MDM просит доступ к сообщениям, телефонным вызовам и уведомлениям. Получив разрешения, приложение скрывает значок и остается работать в фоне.

Уже хранящиеся на смартфоне сообщения вредонос не забирает. Он следит за теми SMS, которые приходят после заражения. На сервер злоумышленников отправляются номер отправителя, сам текст и время получения. Таким способом можно перехватить не только обычную переписку, но и банковские уведомления или одноразовые коды для входа в сервисы.

Отдельно исследователи обратили внимание на работу со звонками. Оператор Corp MDM может удаленно дать команду смартфону перенаправлять все входящие вызовы на другой номер. Пользователь при этом может не сразу понять, почему ему перестали дозваниваться.

После установки зараженный телефон связывается с управляющим сервером примерно каждые 30 секунд и ждет новых команд.

На той же инфраструктуре специалисты нашли фишинговые страницы и инструменты для атак на компьютеры с Windows. Это может означать, что Android-шпион используют как один из элементов более крупной кампании против транспортных и логистических компаний.

Сам Corp MDM пока выглядит недоработанным: часть команд в его коде вообще не срабатывает. Исследователи также нашли признаки того, что при разработке программы могли применять инструменты ИИ.