Ботнет PEACHPIT использует зараженные мобильные устройства
Ботнет, известный как PEACHPIT, охватывающий обширную сеть устройств Android и iOS, использовался злоумышленниками для получения незаконной прибыли. Этот ботнет связан с более крупной операцией под названием BADBOX, базирующейся в Китае, которая включает в себя продажу мобильных и подключенных телевизионных устройств других марок в популярных интернет-магазинах и на перепродажных платформах, все из которых заражены вредоносным ПО для Android под названием Triada.
По данным HUMAN Security, связанные с PEACHPIT приложения были обнаружены в 227 странах и территориях, при этом максимальная оценка составляет 121 000 ежедневно зараженных устройств Android и 159 000 ежедневно зараженных устройств iOS.
Заражение произошло через набор из 39 приложений, которые были загружены более 15 миллионов раз. Устройства, содержащие вредоносное ПО BADBOX, позволяли операторам красть конфиденциальные данные, устанавливать точки выхода через резидентные прокси-серверы и участвовать в рекламном мошенничестве с помощью мошеннических приложений.
PEACHPIT может распространиться через атаку на цепочку поставок
Метод, с помощью которого Android-устройства подвергаются риску с помощью бэкдора прошивки, в настоящее время неясен, но есть признаки атаки на цепочку поставок оборудования с участием китайского производителя.
Злоумышленники также могут использовать эти взломанные устройства для создания учетных записей WhatsApp и Gmail, что затрудняет их обнаружение, поскольку они кажутся созданными настоящими пользователями.
Исследователи безопасности впервые задокументировали эту преступную операцию в мае 2023 года, приписав ее группе под названием Lemon Group.
HUMAN выявил более 200 различных типов Android-устройств, включая мобильные телефоны, планшеты и CTV-продукты, на которых были обнаружены признаки заражения BADBOX, что указывает на широкое распространение.
Одним из важных аспектов схемы мошенничества с рекламой является использование поддельных приложений в крупных магазинах приложений, таких как Apple App Store и Google Play Store, а также автоматическая загрузка на взломанные устройства BADBOX. Эти приложения содержат модуль, который создает скрытые веб-представления для запроса, отображения и взаимодействия с рекламой, создавая впечатление, будто запросы исходят от законных приложений.
Для борьбы с этой операцией компания по предотвращению мошенничества сотрудничала с Apple и Google, и злоумышленники отключили серверы C2, ответственные за заражение прошивки BADBOX бэкдором. В результате остальная часть BADBOX теперь считается неактивной.
