Логистичният сектор се превърна в мишена на нова злонамерена киберкампания, която разпространява Android шпионски софтуер с кодово име Corp MDM.

Според Have I Been Squatted, кампанията използва фалшиви страници на Google Play, брандирани като CEVA и TKW Logistics, за да разпространява файл с пакет за Android (APK), който е дегизиран като системна услуга. Доставеното приложение носи името на пакета 'com.corp.mdm'.

Corp MDM е „компактен имплант за наблюдение, предназначен да извлича новополучено съдържание от SMS, да пренасочва обаждания и да поддържа скрита услуга на преден план“, заявява изследователят по сигурността Бен Фоланд.

Зловредният код е описан като с тесен обхват по дизайн, лишен от функции за шпионаж, обикновено наблюдавани в комерсиалния шпионски софтуер за Android. Предполага се, че атакуващият зад кампанията е използвал изкуствен интелект (AI) по време на фазата на разработка, като се има предвид наличието на грешки, които пречат на неговите възможности.

В допълнение се казва, че тази дейност е част от по-широка кампания, насочена към логистичния сектор чрез фишинг за идентичност и зловреден софтуер за Windows.

Злонамерените пакети се разпространяват чрез фалшиви страници на Google Play Store като следните –

  • playgoogle.logisticstkwcargo[.]com
  • playgoogle.ceva-app[.]help

И двата артефакта използват твърдо кодиран IP адрес ('69.55.61[.]82') за командване и управление (C2), както и за хостинг на фишинг примамки за идентификационни данни и сервиране на допълнителен зловреден софтуер за Windows, насочен към логистичния сектор.

След като бъде странично зареден и инсталиран, злонамереният софтуер изисква разрешения за SMS, телефония и известия, което му позволява да прехваща входящи SMS съобщения, да активира пренасочване на обаждания и да показва известия. Приложението със зловреден код също така премахва стандартната си икона за стартиране, като същевременно осигурява изпълнение във фонов режим.

На следващия етап то регистрира Android идентификатор с C2 сървъра, изпраща телеметрия за работоспособност на всеки 30 секунди и многократно проверява за команди на всеки секунди –

  • /api/v1/devices/register, за регистриране на устройството заедно с основна информация
  • /api/v1/devices/heartbeat, за изпращане на съобщение за работоспособност
  • /api/v1/devices/{ANDROID_ID}/commands, за получаване на команди, издадени от киберпрестъпника
  • /api/v1/commands/result, за публикуване на резултатите от изпълнението на командата
  • /api/v1/sms/report, за предаване на подателя на SMS, текста на съобщението и времевото клеймо за получаване, заедно с идентификатора на устройството

Установено е, че контролираната от атакуващия инфраструктура хоства защитен с парола административен панел на Corp MDM на порт 3456, който позволява на оператора да поемат контрол над заразените устройства и да изпраща команди. Списъкът с поддържани команди е следният –

  • ping, за връщане на „pong“ чрез крайната точка command-result
  • forward_on, за издаване на код за безусловно пренасочване на обаждания с номер, избран от оператора
  • forward_off, за заявка за отмяна на безусловното пренасочване с ##21#.
  • sync_sms, за докладване на стартирането на процеса на синхронизация, без да се извършва събиране на данни
  • self_destroy, за деактивиране на компонентите на импланта, спиране на услугата и заявка за изчистване на данните на приложението
  • get_location (поддържа се от панела, но не и от зловредния софтуер)
  • lock_device (поддържа се от панела, но не и от зловредния софтуер)

Забележително е, че функционалността на Corp MDM за кражба на SMS е ограничена само до нови входящи съобщения след предоставяне на разрешението. Тя не извлича със задна дата съдържанието на входящата кутия за SMS.

„Този ограничен път за събиране е достатъчен за разкриване на съдържание с висока стойност“, казва Фоланд. „SMS остава често използван за еднократни пароли, нулиране на пароли, възстановяване на акаунти, известия за транзакции и актуализации за изпращане или доставка. Подателят, пълният текст и времевото клеймо напускат устройството през некриптиран HTTP.“

Към момента не е известно кой стои зад операцията, но от Have I Been Squatted посочват, че дейността най-вероятно има арменска или руска връзка, цитирайки локализирани артефакти в потребителския интерфейс на панела и изходния код, свързани с по-широката кампания.

Това не е първият път, когато злонамерени субекти се насочват към логистичния сектор. През ноември 2025 г. Proofpoint подробно описа кампания, която инфектира компании за сухопътен транспорт и логистика със софтуер за дистанционно наблюдение и управление (RMM) с цел финансова печалба и кражба на товари.

По-рано този февруари Ctrl-Alt-Intel и Have I Been Squatted хвърлиха светлина върху група от заплахи с кодово име Diesel Vortex, която е взела под прицел товари и логистични организации в САЩ и Европа, включително DAT Truckstop, TIMOCOM, Teleroute, Penske Logistics, Girteka и Electronic Funds Source (EFS).

Руско-арменски киберпрестъпник стои зад нова платформа за фишинг като услуга (PhaaS) с кодово име Global Profit (известна още като MC Profit Always), която е специално създадена да се насочва към сектора на товарите и логистиката чрез фалшиви имейли и е откраднала над 1 600 уникални идентификационни данни за вход между септември 2025 г. и февруари 2026 г.

„Тази операция не е дело на самостоятелен автор на заплахата“, заявяват от Have I Been Squatted. „Това беше структурирана, финансово мотивирана престъпна услуга, продавана на други оператори, като доказателствата показват, че групата активно е използвала техники за целеви фишинг (spear-phishing) и голосови фишинг (vishing), насочени конкретно към Telegram групи за сухопътен транспорт и логистика.“

„Чрез имитация на легитимните платформи, които техните мишени използват ежедневно, операторите са прехващали данни за вход и кодове за многофакторна автентикация в реално време, след което са продължавали с прихващане на информация за пратки (чрез пренасочване на фактури и двойно брокерство), достъп до лични данни и кражба на средства.“