Специалисты «Лаборатории Касперского» обнаружили троянец-шпион и присвоили ему название LianSpy. Зловред используется в кампании кибершпионажа, нацеленной на конкретных владельцев Android-устройств в России. Она длится уже не первый год и на сегодняшний день всё ещё является актуальной киберугрозой для пользователей. Атакующие активно скрывают следы, из-за чего обнаружение вредоноса было затруднено.

«LianSpy маскируется под системные приложения и финансовые сервисы. Функциональность зловреда включает сбор и передачу атакующим списка контактов с заражённого девайса, а также данных журнала звонков, списка установленных приложений. Троянец способен записывать экран смартфона при открытии определённых приложений, преимущественно мессенджеров. Стоит отметить, что атакующих не интересует финансовая информация жертв», — комментирует Дмитрий Калинин, эксперт «Лаборатории Касперского» по кибербезопасности.

При запуске зловред «прячет» свою иконку и работает в фоновом режиме, чтобы его не обнаружили, после чего активно использует права суперпользователя (root-права) — таким образом у него появляется полный контроль над устройством и возможность скрывать свою активность. Например, он может обходить уведомления от Android, явно показывающие, что в данный момент на телефоне используется камера или микрофон — LianSpy отключает иконку в статус-баре, которая появляется во время записи экрана.

LianSpy отличается необычными для мобильного шпиона техниками. Например, он использует комбинацию симметричного и асимметричного шифрования. К тому же зловред не использует какую-либо приватную инфраструктуру — только публичные сервисы. Это, в частности, затрудняет процесс атрибуции кампании какой-либо группе атакующих. Третьей особенностью является то, что троянец нестандартно использует root-права для сокрытия факта повышения привилегий. Это даёт основания предполагать, что троянец постэксплуатационный, то есть активизируется после эксплуатации уязвимостей.