Как видно из представленного ранее скриншота фишинговой страницы под Интернет-сервис для размещения объявлений Avito, она готовилась под конкретную жертву. Судя по всему, злоумышленники используют один из парсеров Avito, вытаскивающий телефонный номер и имя продавца, а также описание товара. После разворачивания страницы и подготовки APK-файла жертве отправляется СМС-сообщение с ее именем и ссылкой на фишинговую страницу, содержащую описание его товара и суммы, полученной с "продажи" товара. Нажав на кнопку, пользователь получает вредоносный APK-файл - Fanta.
Исследование домена shcet491[.]ru показало, что он делегирован на DNS-серверы компании Hostinger:
- ns1.hostinger.ru
- ns2.hostinger.ru
- ns3.hostinger.ru
- ns4.hostinger.ru
Файл зоны домена содержит записи, указывающие на ip-адреса 31.220.23[.]236, 31.220.23[.]243 и 31.220.23[.]235. Однако основная ресурсная запись домена (A-запись) указывает на сервер с IP-адресом 178.132.1[.]240.
IP-адрес 178.132.1[.]240 расположен в Нидерландах и принадлежит хостеру
WorldStream. IP-адреса 31.220.23[.]235, 31.220.23[.]236 и 31.220.23[.]243 расположены в Великобритании и принадлежат серверу виртуального хостинга HOSTINGER. В качестве регистратора используется
openprov-ru. На IP-адрес 178.132.1[.]240 также резолвились домены:
- sdelka-ru[.]ru
- tovar-av[.]ru
- av-tovar[.]ru
- ru-sdelka[.]ru
- shcet382[.]ru
- sdelka221[.]ru
- sdelka211[.]ru
- vyplata437[.]ru
- viplata291[.]ru
- perevod273[.]ru
- perevod901[.]ru
Следует отметить, что почти со всех доменов были доступны ссылки, следующего формата:
http://(www.){0,1}<%domain%>/[0-9]{7} Под данный шаблон также попадает ссылка из СМС-сообщения. По историческим данным было обнаружено, что одному домену соответствует несколько ссылок по вышеописанному шаблону, что говорит об использовании одного домена для распространения трояна нескольким жертвам.
Забежим немного вперед: в качестве управляющего сервера загруженный по ссылке из СМС троян использует адрес
onuseseddohap[.]club. Данный домен был зарегистрирован 2019-03-12, и начиная с 2019-04-29 происходило взаимодействие APK-приложений с данным доменом. Опираясь на данные, полученные с VirusTotal, всего с данным сервером взаимодействовало 109 приложений. Сам домен резолвился на IP-адрес
217.23.14[.]27, расположенный в Нидерландах и принадлежащий хостеру
WorldStream. В качестве регистратора используется
namecheap. На данный IP-адрес также резолвились домены
bad-racoon[.]club (начиная с 2018-09-25) и
bad-racoon[.]live (начиная с 2018-10-25). С доменом
bad-racoon[.]club взаимодействовало более 80 APK-файлов, с
bad-racoon[.]live - более 100.
В целом, ход атаки выглядит следующим образом: