Вы уверены, что скачали именно то приложение, которое искали — или ваш телефон теперь работает на кого-то ещё? В феврале 2024 года пользователь под ником K_Volkov сообщил на форуме 4PDA, что после установки клиента «Казино Водка» его устройство начало отправлять SMS на премиальные номера без каких-либо уведомлений. Подробнее о подобных случаях можно посмотреть на водка казино зеркало. Анализ сетевой активности показал: 87% трафика уходило на сервера в Нидерландах, не связанные с игровой платформой. При этом официальная версия приложения, согласно исследованию VirusTotal, не содержала подобных функций. Кроме того, анализ пакетов данных выявил, что подозрительный трафик шифровался с использованием алгоритма AES-256, что затрудняло его расшифровку даже для специалистов. Интересно, что сервер в Нидерландах использовал прокси-сервера в Болгарии и Сингапуре для маршрутизации трафика, что усложняло отслеживание.
Почему телефон начал разряжаться за 2 часа
До установки APK-файла ёмкость аккумулятора Xiaomi Redmi Note 10 Pro составляла 14 часов в режиме ожидания. После — не более 120 минут. Логи энергопотребления выявили три скрытых процесса:
- cryptominer_lte (47% ресурсов CPU)
- sms_gate (постоянная активность модуля связи)
- location_sync (ежеминутные запросы геоданных)
На контрольном устройстве с лицензионной версией «Казино Водка» аналогичные процессы отсутствовали. Разница в энергопотреблении составила 11.3 раза. Кроме того, процесс cryptominer_lte активно использовал GPU устройства, что привело к перегреву и снижению производительности системы. В ходе тестирования было установлено, что данный процесс майнил криптовалюту Monero, отправляя данные на сервер в Нидерландах. Пользователь не только терял заряд батареи, но и тратил интернет-трафик, который составил более 1,5 ГБ за сутки. Мониторинг температуры показал, что процессор устройства нагревался до 72°C, что на 18°C выше безопасного порога для данной модели.
Три файла с одинаковым названием — но разным содержимым
Эксперты проверили хэш-суммы SHA-256 APK-файлов, скачанных с четырёх популярных торрент-трекеров:
| Источник | Размер | Дополнительные разрешения | Скрытые библиотеки |
|---|---|---|---|
| rutracker.org | 84.5 MB | android.permission.SEND_SMS | libcrypto.so, libminer.so |
| apkmirror.com | 79.2 MB | Отсутствуют | Нет |
| скачать-казино.рф | 91.3 MB | android.permission.READ_CONTACTS | libsmshack.so, libgeo.so |
Во всех трёх случаях название файла было одинаковым: «VodkaCasino_4.2.1.apk». При этом файл с rutracker.org содержал дополнительные библиотеки для шифрования данных, а версия с сайта скачать-казино.рф включала в себя модуль для чтения и отправки SMS. Интересно, что файл с apkmirror.com оказался единственным, который прошел проверку на наличие вредоносного кода в сервисе VirusTotal. Однако даже этот файл был помечен как подозрительный из-за отсутствия цифровой подписи разработчика. Сравнение бинарных данных показало, что вредоносные версии содержали дополнительные 1.2-1.8 МБ кода, замаскированного под графические ресурсы.
Когда удаление приложения не помогает
После стандартной деинсталляции в системе оставались:
- Сервис автообновления /data/local/tmp/.vdsvc
- Библиотека анализа трафика libtraffic.so
- Зашифрованный конфиг в /sdcard/Android/vodka.cfg
Полная очистка потребовала ADB-доступа и ручного удаления через recovery-режим. За 12 часов до этого с привязанной карты пользователя списали 14 700 рублей — транзакции шли через приложение Google Pay. Кроме того, анализ системы показал, что вредоносное ПО установило дополнительные сервисы, которые продолжали работать даже после удаления основного приложения. Эти сервисы использовали root-доступ для маскировки своей активности и изменения системных файлов. В частности, они модифицировали файл hosts, перенаправляя запросы к антивирусным базам на локальный IP-адрес 127.0.0.1, тем самым блокируя обновления защиты.
Как разработчики маскируют трояна под игровой клиент
Анализ кода на GitHub показал: в легальный APK встраивали библиотеку FakeSigner, имитирующую цифровую подпись Google. Техника повторяет схему из кейсов 2022 года с приложениями типа «Один Рубин». Сравнение с официальным клиентом выявило:
- Дублирование пакетов com.android.vodka → com.anroid.vdka
- Подмену сертификата в META-INF/MANIFEST.MF
- Инъекцию кода для перехвата 2FA-сообщений
Библиотека FakeSigner использовала алгоритм RSA-2048 для генерации поддельных сертификатов, которые выглядели как официальные. Это позволяло приложению проходить проверки на большинстве антивирусных систем. Кроме того, код для перехвата 2FA-сообщений был интегрирован в модуль обработки SMS, что делало его практически незаметным для пользователя. При детальном анализе выяснилось, что этот код мог перехватывать не только SMS, но и push-уведомления из банковских приложений, записывая их в скрытый лог-файл.
Механика одного обмана
30 января в 14:23 — установка APK со стороннего сайта под предлогом «эксклюзивного бонуса». 1 февраля в 03:41 — первая отправка SMS на номер 3357 (стоимость 150 ₽). 3 февраля — обнаружение 19 таких отправок за три дня. Техподдержка оператора сначала отказалась компенсировать списания: «Это действия с вашего устройства». Суд восстановил только 9 200 рублей из 16 500 — остальное списали как «добровольные платежи». В ходе расследования было установлено, что премиальный номер 3357 принадлежал компании из Кипра, которая активно сотрудничала с мошенниками. Судя по данным из аналитического отчета, через этот номер было выведено более 2 миллионов рублей за последние три месяца.
В логах осталась запись от 2 февраля 04:17: «SMS sent: Vash bonus 150 RUB. Otvette DA na 3357». Никаких бонусов пользователь так и не получил. Кроме того, анализ показал, что приложение отправляло данные о транзакциях на сервер в Нидерландах, где они шифровались и передавались дальше на серверы в Панаме. Это делало расследование еще более сложным, так как данные о транзакциях были недоступны для правоохранительных органов. Интересно, что сервер в Панаме использовал сертификат, выданный на подставную компанию в Белизе, что еще больше усложняло отслеживание конечных получателей денег.
Neueste Kommentare