Миллионы пользователей Android и iOS рискуют заразить телефоны вредоносным ПО Roaming Mantis через взломанные Wi-Fi-маршрутизаторы

Вредоносное ПО, которое заражает смартфоны через маршрутизаторы Wi-Fi, получившее название «Roaming Mantis», быстро распространяется по всему миру после того, как впервые появилось всего пару месяцев назад.

Посредством перехвата DNS вредоносное ПО использует взломанные маршрутизаторы для заражения смартфонов и планшетов Android, перенаправления устройств iOS на фишинговый сайт и запуска CoinHive, скрипта для майнинга криптовалют, на настольных компьютерах и компьютерах.

До сих пор затрагивая в основном пользователей в Японии, Корее, Китае, Индии и Бангладеш, Roaming Mantis добавил еще два десятка языков, включая арабский, русский и множество европейских языков, и быстро распространяется по всему миру. по данным «Лаборатории Касперского»компания по кибербезопасности.

По мнению Касперского, Roaming Mantis выбрал самую простую и эффективную форму перехвата DNS, которая включает в себя перехват настроек скомпрометированных маршрутизаторов и принуждение их к использованию собственных мошеннических DNS-серверов. Это означает, что пользователь будет перенаправлен на вредоносный сайт, если использует устройство, подключенное к взломанному маршрутизатору.

Хотя вредоносное ПО на момент своего появления затрагивало только устройства Android, теперь его создатели научили его атаковать устройства iOS.

Пользователям Android предлагается обновить браузер перед загрузкой вредоносного приложения, замаскированного под Chrome или Facebook, которое запрашивает ряд разрешений и использует их для взлома двухфакторной аутентификации и взлома учетных записей Google. Тем временем пользователи iOS перенаправляются на макет веб-сайта Apple под названием security.apple.com и предлагают ввести свои данные для входа, а также номер банковской карты.

Последней «инновацией», обнаруженной исследователями, стал Roaming Mantis, запускающий сценарий майнинга CoinHive на настольных компьютерах и ноутбуках — загружающий процессы на максимум и потребляющий огромное количество энергии для добычи криптовалюты для ее создателей.

По словам Касперского, Roaming Mantis был впервые обнаружен в марте в японских отчетах о взломе настроек DNS на маршрутизаторах, которые перенаправляли пользователей на вредоносные IP-адреса, что привело компанию по кибербезопасности к опубликовал первоначальное исследование вредоносного ПО в прошлом месяце.

«В ходе нашего исследования мы получили бесценную информацию об истинном масштабе этой атаки. Ежедневно осуществлялись тысячи подключений к инфраструктуре управления и контроля (C2), при этом у большинства жертв язык устройства был установлен на корейский», — пишет младший научный сотрудник Сугуру Ишимару.

«Поскольку мы не нашли ранее существовавшее название для этой вредоносной операции, мы решили назначить новое для дальнейшего использования. Учитывая его распространение через смартфоны, перемещающиеся между сетями Wi-Fi, потенциально переносящие и распространяющие инфекцию, мы решили назвать его «Roaming Mantis».

В то время Касперский пришел к выводу, что Roaming Mantis был разработан для распространения в основном в азиатских странах, при этом 98% затронутых устройств были настроены на корейский язык, а позже была добавлена ​​языковая поддержка для традиционного китайского, английского и японского языков.

Но расширение Roaming Mantis показывает, что его создатели стремятся использовать эффективность вредоносного ПО, добавив поддержку еще 24 языков и распространив его глобальное распространение.

Угроза вредоносного ПО кажется постоянной и постоянно растущей: в этом месяце исследователи Symantec обнаружили серию вредоносных приложений. пробраться обратно в Google Play Store, просто изменив свои имена после удаления в прошлом.

Между тем, дальнейшее исследование Symantec в начале этого года выявило случаи крипто-взлома, типичным примером которых является проявление Roaming Mantis на настольных компьютерах и ноутбуках. в последнем квартале 2017 года вырос на 8500% по сравнению с аналогичным периодом прошлого года..

«Лаборатория Касперского» включила в себя несколько шагов по оказанию помощи пользователям, зараженным Roaming Mantis, включая установку антивирусного ПО на все зараженные устройства с последующей глубокой очисткой после его удаления, которая влечет за собой смену паролей и аннулирование банковских карт, смену пароля администратора роутера и обновление прошивки. а также проверку того, что адрес DNS-сервера их маршрутизатора соответствует адресу, выданному интернет-провайдером.

Фото: Шаттерсток