Исследование «Доктор Веб». Как дешевые Android-смартфоны, WhatsApp и кража криптовалюты связаны между собой?

Мошенники активно эксплуатируют доверчивость пользователей, уязвимости дешевых устройств и анонимность криптовалют. Осведомленность и базовые меры безопасности помогут избежать потерь

Рост популярности криптовалют

Криптовалюты становятся все более распространенным платежным инструментом:
- В развитых странах около 20% населения хотя бы раз использовали криптовалюты.
- В развивающихся странах, где банковская система не всегда доступна, их популярность еще выше.
- Россия входит в топ-10 стран по числу пользователей цифровых активов.

Почему люди выбирают криптовалюты?
✔ Анонимность
✔ Быстрые и глобальные переводы
✔ Низкие комиссии

Но эти же преимущества привлекают мошенников, ведь:
✖ Транзакции необратимы
✖ Отсутствует централизованный контроль
✖ Многие пользователи недостаточно разбираются в технологии

Как происходит кража криптовалюты?

 Злоумышленники используют слабые места в цепочке безопасности:
1. Дешевые Android-смартфоны
- Устройства низкого качества часто поставляются с предустановленным вредоносным ПО.
- Уязвимости в прошивке позволяют перехватывать данные (например, seed-фразы кошельков).
2. Мессенджеры (WhatsApp, Telegram)
- Мошенники создают фейковые группы и каналы с "выгодными предложениями".
- Распространяют фишинговые ссылки под видом "обновлений" или "бонусов".
- Внедряют троянские приложения, маскирующиеся под криптокошельки или трейдинговые платформы.
3. Социальная инженерия
- Поддельные поддержки сервисов, "раздачи" и "аирдропы".
- Давление на жертву ("Срочно обновите кошелек, иначе средства пропадут!").

Как защититься?
- Покупайте смартфоны проверенных брендов (избегайте "ноунеймов" с подозрительным ПО).
- Не скачивайте приложения из сомнительных источников – только Google Play/официальные сайты.
- Включайте двухфакторную аутентификацию (2FA) везде, где возможно.
- Не переходите по ссылкам из WhatsApp/Telegram от неизвестных отправителей.
- Храните крупные суммы в "холодных" кошельках (аппаратных или бумажных).

С июня 2024 года в вирусную лабораторию «Доктор Веб» начали поступать сообщения от наших клиентов, которые установили антивирус Dr.Web Security Space на свежеприобретенные телефоны с ОС Android. При сканировании системного раздела прошивки было выявлено подозрительное приложение, замаскированное под мессенджер WhatsApp (принадлежит компании Meta, признанной экстремистской организацией и запрещенной в РФ). В ходе исследования, проведенного нашими аналитиками, было установлено, что эти случаи — не единичные: они свидетельствуют о мошеннической цепочке в рамках кампании по краже криптовалют методом клиппинга.

Клиппинг — это кража информации путем перехвата и/или подмены данных, которые пользователь копирует в буфер обмена. Наиболее часто клипперы нацелены на поиск в буфере обмена последовательностей символов, соответствующих адресам криптокошельков. В среднем такие строки содержат от 25 до 42 символов. Для удобства работы с такими данными пользователи обычно используют стандартные операции «копировать» и «вставить». Клиппер может воспользоваться этим, перехватив содержимое буфера обмена и незаметно подменив все адреса криптовалютных кошельков на те, которые принадлежат киберпреступникам.

 Использование мессенджеров, троянизированных клипперами для кражи финансовой информации, не является новой тактикой для хакеров. Одна из подобных кампаний была выявлена еще в 2023 году. Тогда группа злоумышленников использовала ряд легитимных площадок, таких как Youtube, для распространения ссылок на вредоносные приложения Telegram и WhatsApp. Ссылки размещались в описаниях к видео. Основной целевой аудиторией были китайские пользователи, которые не имеют доступа к иностранным мессенджерам. А поскольку для обхода блокировок они используют ряд ухищрений, в частности скачивание программ с неофициальных сайтов, то такая кампания получила довольно внушительный размах.
Теперь злоумышленники смогли выйти на новый уровень и получить доступ к цепочке поставок ряда китайских производителей смартфонов на базе ОС Android. Именно про такие смартфоны и поступили сообщения в вирусную лабораторию «Доктор Веб». Мошеннические приложения были обнаружены непосредственно в составе предустановленного на телефоне ПО: вредоносный код был добавлен к мессенджеру WhatsApp.
Отметим, что в большинстве случаев скомпрометированные устройства были представлены в нижнем ценовом диапазоне и имели названия, созвучные с моделями известных брендов: S23 Ultra, Note 13 Pro, P70 Ultra и так далее. При этом их технические характеристики были далеки от заявленных. Дело в том, что в состав прошивки входило скрытое приложение, позволяющее с легкостью изменить всю отображаемую техническую информацию об устройстве не только в системном меню, но и в отчетах таких популярных приложений, как AIDA64 и CPU-Z. Кроме того, несмотря на то, что в разделе «Об устройстве» было заявлено об установленной последней версии Android 14, на самом деле все устройства работали под управлением одного и того же билда Android 12. Треть указанных ниже моделей выпускается под брендом SHOWJI. Производителей остальных моделей нам идентифицировать не удалось.

Модели смартфонов со встроенным вредоносным ПО, приобретенные пользователями «Доктор Веб».

SHOWJI S19 Pro / Note 30i / Camon 20
SHOWJI Note 13 Pro / S23 Ultra / P70 Ultra
SHOWJI X100S Pro / S18 Pro / M14 Ultra
SHOWJI Reno12 Pro / 6 Pro / S24 Ultra

Материал подготовлен: Доктор Веб