Ajina.Banker атакует: как вирус крадет банковские данные в Узбекистане и как от него защититься

В мае 2024 года аналитики кибербезопасности обнаружили подозрительную активность, которая была направлена против клиентов банков в Центральной Азии, преимущественно в Узбекистане. Злоумышленники распространяли вредоносное программное обеспечение для мобильных устройств на Android. После установки оно начинало сбор и кражу личной и банковской информации пользователей и перехват СМС-сообщений банков с двухфакторной аутентификацией. Сегодня поговорим о том, что из себя представляет этот вирус, и расскажем, как избежать заражения.

Что это за вирус

За месяцы исследования программистами были обнаружены тысячи вариантов вируса на разных устройствах, которые представляли собой образцы трояна, известного компьютерного вируса, нацеленного на кражу данных пользователя. Система действовала как минимум с ноября 2023 года. Наиболее крупный из троянов получил название Ajina.Banker.

Выяснилось, что вредоносный вирус находился в файлах с расширением .APK, которое используется для установки программ на Android-девайсы. Файлы маскировались под приложения для финансовых услуг, платежей, доставки и других популярных задач. Эти вредоносные файлы распространялись через мессенджер Telegram.

Чем опасен троян Ajina.Banker

После того, как троян поселится в устройстве жертвы, конфиденциальные данные попадают в руки злоумышленника. Затем он пытается использовать их для входа в банковские приложения, чтобы получить доступ к аккаунтам. После чего мошенники могут как моментально вывести средства с банковского счета, так и использовать его длительное время незаметно для владельца.

В таких случаях при доступе к аккаунту пользователя может появиться новое устройство. Для противодействия этому следует всегда контролировать входы в банковские приложения с новых девайсов.

Опасным становится и кража личных данных: помимо банковской информации, хакеры получают доступ к адресу, контактам и паролям от аккаунтов жертвы. Эта информация может быть использована злоумышленниками как для кражи финансовых ресурсов, так и для дальнейшего шантажа пользователя.

Как распространяется

Анализ показывает, что большинство образцов вредоносной программы было разработано специально для пользователей в Узбекистане. Это позволяет предположить, что злоумышленники намеренно сосредоточились именно на этом регионе. Однако и другие страны Центральной Азии и Восточной Европы также стали целями для атак хакеров.

С помощью Ajina хакеры используют платформы для обмена сообщениями, включая Telegram, в качестве канала для распространения вредоносных образцов. Создаются многочисленные поддельные учетные записи для распространения вредоносного ПО в крупных региональных и местных чатах. Процесс распространения может быть частично автоматизирован, что делает распространение вируса более эффективным.

Программа самостоятельно создает сообщения и отправляет ссылки и файлы, чтобы заманить ничего не подозревающих пользователей. Вредоносное ПО часто маскируется под настоящие банковские, правительственные и другие популярные приложения с целью максимизировать уровень заражения. Этот метод таргетинга привел к широкомасштабной и успешной кампании заражения вредоносными программами множества устройств в Центральной Азии.

Техники заражения

Хакеры прибегают к разным методам рассылки вредоносных программ с целью заражения пользователей. Перечислим главные из них.

Через файлы в мессенджерах

Злоумышленники рассылают с поддельных аккаунтов в чатах в Telegram рекламные сообщения, в которых обещают подарки и вознаграждения или эксклюзивный доступ к востребованным услугам. Чтобы получить приз, пользователям рекомендуют скачать прикрепленный к сообщению файл, который заражен вирусом. Часто скачиваемое приложение имитирует настоящую финансовую программу.

Через спам-рассылку

Хакеры отправляют в группах в мессенджере спам-сообщения, которые содержат только вредоносный вложенный файл без какого-либо сопроводительного текста. Этот подход направлен на пользователей, которые могли бы открыть нежелательный файл случайно или из любопытства.

Через ссылки в сообщениях

Мошенники также делятся ссылками на каналы с вредоносными файлами. Делают это они также в чатах в Telegram и сопровождают сообщения рекламными текстами, призванными побудить пользователей загрузить вредоносное ПО.

Такой подход помогает злоумышленнику использовать доверие пользователей к проверенным каналам. Когда жертвы нажимают на ссылку и заходят на фейковый канал, они склонны полагать, что файлы, которыми там делятся, безопасны.

Используют мошенники и ссылки на сторонние ресурсы, в таком случае жертва попадает на специально созданный фишинговый сайт, на котором содержатся ссылки на вредоносные файлы. Эти ресурсы также копируют внешний вид и ссылки надежных и известных интернет-пользователям сайтов.

Как защититься от вируса: памятка для пользователей

Напоследок составили основные рекомендации, которые помогут защитить ваши данные от трояна Ajina.Banker и похожих вирусов.

• Всегда проверяйте наличие обновлений на мобильном устройстве. Постоянное обновление программного обеспечения девайсов сделает их менее уязвимыми.
• Не загружайте приложения из сторонних источников, используйте только Google Play. Однако стоит отметить, что даже Google Play не может гарантировать полную безопасность.
• Всегда проверяйте разрешения, которые запрашивает приложение перед его установкой.
• Не нажимайте на ссылки, которые содержатся в подозрительных СМС-сообщениях.

Если вы подозреваете, что ваше устройство уже заражено, срочно сделайте следующее:

• Отключите доступ к мобильной сети и сети WI-FI.
• Заблокируйте все банковские счета, к которым есть доступ с вашего гаджета.
• Отнесите зараженный гаджет в сертифицированный сервисный центр и проконсультируйтесь с экспертами по информационной безопасности.

Случай с Ajina показывает, как быстро разработчики вредоносного ПО могут выстроить цепочки распространения вируса и прокачать инструменты заражения устройств. Прямая связь между злоумышленником и жертвой также делает Ajina.Banker крайне эффективной вирусной программой, так как обнаружить его на первых этапах практически невозможно. Точных данных о количестве пострадавших пользователей у экспертов нет. Вирус продолжает распространяться в Узбекистане и соседних странах. Чтобы избежать заражения, не доверяйте подозрительным сообщениям и следуйте нашим рекомендациям.