Фейковая страница безопасности Google распространяет мощный шпионский набор

Эксперты компании Malwarebytes предупредили о фейковой странице проверки безопасности аккаунта Google, которая распространяет, возможно, «один из самых функциональных браузерных шпионских наборов, которые мы наблюдали в дикой природе». Вредоносное ПО способно заражать устройства на Windows, macOS и Android.

Атака начинается с поддельной страницы, стилизованной под официальный интерфейс Google. Пользователю предлагается установить «программное обеспечение безопасности» в виде прогрессивного веб-приложения (PWA). В процессе установки злоумышленники постепенно получают доступ к уведомлениям, спискам контактов, данным геолокации в реальном времени и содержимому буфера обмена.

Если жертва устанавливает PWA и предоставляет разрешения, простое закрытие вкладки браузера не останавливает угрозу. Скрипт страницы продолжает работать, пытаясь читать буфер обмена в поисках одноразовых паролей и адресов криптокошельков. На мобильных устройствах он также пытается перехватывать SMS-коды подтверждения.

Даже после закрытия вкладки отдельный сервис-воркер продолжает выполнять вредоносные задачи по краже данных в фоновом режиме. Похищенная информация может накапливаться локально при отсутствии соединения и отправляться, как только связь восстанавливается.

«Закройте вкладку браузера, и скрипт страницы остановится. Мониторинг буфера обмена и перехват SMS прекращаются немедленно. Но сервис-воркер остаётся зарегистрированным. Если жертва предоставила разрешения на уведомления, злоумышленник всё ещё может незаметно разбудить его, отправить новую задачу или запустить выгрузку данных, не открывая приложение снова», — поясняют в Malwarebytes.

Вредоносная программа также действует как ретранслятор WebSocket, что позволяет ей работать как HTTP-прокси и получать доступ к корпоративным сетям, обходя контроль доступа по IP-адресам. На устройствах Android отдельно устанавливаемый APK, маскирующийся под «критическое обновление безопасности», включает пользовательскую клавиатуру для перехвата нажатий клавиш, службу прослушивания уведомлений для захвата кодов двухфакторной аутентификации и службу доступности для наблюдения за содержимым экрана.

Malwarebytes предоставила пошаговые инструкции по удалению угрозы для пользователей Windows, macOS, Android и iOS. Эта комплексная атака служит серьёзным напоминанием о необходимости проявлять бдительность при переходе по ссылкам и установке приложений, даже если они выглядят легитимно.