Оферта за безплатна телевизия доведе потребители на Android до опасно изтегляне. Реклами за стрийминг услуга ги подтикваха да инсталират приложение, което може да даде контрол над телефоните им на киберпрестъпници, вместо достъп до предавания. Зловредният софтуер зад кампанията се нарича StreamRat.
Рекламите са били насочени към испаноезични потребители в Испания. Една от кампаниите е достигнала до около 570 000 потребители на Meta между 11 юни и 3 юли 2026 г.
Това измерва обхвата на рекламата, а не броя на инфекциите. Примамката напомня за фалшиви приложения за стрийминг, разпространяващи TrickMo в друга кампания за банкови троянски коне за Android. Анализатори от Zimperium отбелязаха използването на реклами в социалните мрежи и поетапния процес на инсталация в кампанията.
От Zimperium заявиха в доклад, споделен с Cyber Security News (CSN), че StreamRat може да прихваща пароли, да наблюдава екрани и да позволи на оператор да управлява отдалечено инфектирани устройства.
Опасността надхвърля откраднатите данни за вход. Атакуващ, контролиращ телефона, може да достигне до банкови приложения, съобщения и други чувствителни профили. Офертата изглежда е обещавала развлечение, но целта е била достъп до лична информация и финансови сметки.
Изследователите все още не са публикували потвърден брой инфектирани устройства или успешни атаки, така че голямата аудитория на рекламната кампания не трябва да се бърка с броя на жертвите.
Фалшиво приложение за стрийминг
Операцията започва с реклами, популяризиращи безплатна TV услуга в социалните платформи. Уебсайтът, към който води връзката, проверява дали посетителят използва Android и крие опцията за изтегляне за други устройства.
След това той показва инструкции, съобразени с браузъра или социалното приложение, използвани за отваряне на страницата. Тези инструкции подтикват потребителите да позволят инсталиране от източници извън стандартния магазин за приложения и да активират Достъпност (Accessibility) — функция, предназначена да помага на хората при използването на телефоните им.
Подобна злоупотреба с разрешения стои в основата на банкови троянски коне за Android, използващи препокриващи слоеве (overlays), които могат да поставят убедителни страници за вход над автентични приложения.
Първото зловредно приложение, дропър (dropper), се опитва да стане начален екран по подразбиране на телефона. Натискането на бутона Home тогава връща потребителя към неговите инструкции. То изтегля и инсталира основния троянски кон, преди да се откаже от тази роля.
След като жертвата предостави достъп до Достъпност (Accessibility), StreamRat може да наблюдава какво се появява на екрана, да записва въведена информация и да извършва докосвания или плъзгания по екрана.
То също така изброява инсталираните приложения и съобщава кое от тях е отворено. Това помага на оператора да реши кога да покаже фалшива страница за вход в банка или да поиска още данни.
Зловредният софтуер предлага два начина за преглед на екрана. Единият използва стандартното разрешение за споделяне на екрана в Android, докато другият многократно заснема екранни снимки чрез Достъпност (Accessibility) без индикатор за споделяне. Всеки от двата изгледа може да поддържа отдалечени действия, позволявайки на атакуващия да управлява телефона отдалечено.
Скрити екрани и прекъснати връзки
StreamRat може да покрие дисплея с черен екран или фалшиво системно актуализиране, докато операторът продължава да работи зад него. Неговите фалшиви страници за вход могат да събират данни, въведени от жертвата. Заедно тези инструменти увеличават риска от неоторизирана активност в профилите.
Преди да бъде инсталиран крайният зловреден софтуер, дропърът може също да поиска VPN достъп и да създаде връзка, която не пренася нормален трафик. Другите приложения временно губят достъп до интернет, докато дропърът все още може да изтегли своя зловреден код.
Изследователите смятат, че това може да попречи на облачните проверки за сигурност, а не да деактивира всяка защита. Загубата на свързаност по време на инсталация си струва да бъде разследвана.
Примамката смесва обичайните инструкции за настройка с искания за критични разрешения. Друг зловреден софтуер за Android, продаван за отдалечен контрол, също е използвал фалшиви оферти за стрийминг, за да подтикне потребителите към вредни изтегляния.
Изследователите откриха контролен панел с отделни потребителски роли и инструменти за създаване на зловреден софтуер, което подсказва, че множество оператори биха могли да го използват. Методът на доставяне на кампанията може да се промени, но критичният повратна точка остава същата: потребителят инсталира ненадеждно приложение и му предоставя достъп до телефона.
Потребителите трябва да избягват изтегляния на приложения, предлагани чрез реклами в социалните мрежи или непознати уебсайтове, и да се съмняват във всяко стрийминг приложение, което изисква достъп до Достъпност (Accessibility), запис на екрана или VPN достъп.
Организациите трябва да преглеждат телефони, показващи неочаквани промени в разрешенията, промени на началния екран по подразбиране или инсталиране от източници извън одобрените. За контекст, банковият зловреден софтуер, използващ фалшиви страници за изтегляне, представлява подобно предупреждение за измамни инсталации на приложения.
Indicators of compromise (IoCs):-
| Type | Indicator | Description |
|---|---|---|
| SHA-256 | e0714788b4e2518b0d9d4cbf18c7217bb97718e01689d77338f1cc4a230fcb6c | StreamRat-related Android app sample. |
| Package name | io.base.one887 | Package associated with the streaming-app sample. |
| Application name | StrεαmTV Pro | Name used by the streaming-app sample. |
| SHA-256 | ba83cc3c9535690191018edf73ca5c6001609df9919462796aa2e551f142e4d3 | StreamRat-related Android app sample. |
| Package name | io.meat.hint | Package associated with the second sample. |
| Application name | Sistema de vídeo | Name used by the second sample. |
| C2 IP address | 45.147.28[.]59 | Command-and-control infrastructure. |
| C2 IP address | 193.32.2[.]245 | Command-and-control infrastructure. |
| File name | r1edmi.html | Page used to tailor installation instructions. |
| File name | app.apk | Download name assigned to the dropper. |
| File name | set_launcher.html | Dropper page used during home-screen setup. |
| File name | index.html | Dropper page that triggers the payload download. |
| File name | vpn_required.html | Page included in the dropper’s installation flow. |
| File name pattern | update_{timestamp}.apk | Payload saved in the Downloads folder. |
| File name pattern | <package_name>.html | Temporary file used for an app-specific overlay. |