CallPhantom — мошенничество с Android

Кампания CallPhantom показала, как киберпреступники могут использовать любопытство общественности и дезинформацию для получения огромной прибыли с помощью мошеннических приложений для Android. Распространяемые через официальный магазин Google Play, эти 28 вредоносных приложений ложно утверждали, что могут получать доступ к журналам звонков, записям SMS и активности WhatsApp, связанной с любым номером телефона. До удаления приложений Google кампания уже собрала более 7,3 миллионов загрузок.

Невыполнимые обязательства, замаскированные под законные услуги.

Каждое приложение в кластере CallPhantom продвигало одну и ту же обманчивую функцию. Пользователям предлагалось ввести номер телефона, после чего приложения якобы генерировали полную историю общения, включая записи звонков, текстовые сообщения и переписку в WhatsApp.

С технической точки зрения, эти утверждения были совершенно невозможны. Архитектура безопасности и разрешений Android предотвращает доступ приложений к личным данным переписки других пользователей. Вместо получения реальной информации приложения отображали сфабрикованные результаты, сгенерированные на основе жестко закодированных телефонных номеров, предопределенных имен и случайно присвоенных временных меток, встроенных непосредственно в код приложения.

Исследователи выявили две основные операционные модели, использовавшиеся на протяжении всей кампании:

• Одна группа приложений сразу же выдавала ограниченное количество ложных результатов, а затем требовала плату за разблокировку якобы «полной истории».
• Другая группа собирала адреса электронной почты пользователей, обещала выслать подробные данные по электронной почте и требовала оплату до того, как якобы будут отправлены какие-либо результаты.

В обоих случаях жертвы заплатили за данные, которых никогда не существовало.

Манипулятивные платежные системы, разработанные для уклонения от возврата средств.

Операторы CallPhantom использовали несколько платежных механизмов для максимизации прибыли, одновременно снижая вероятность успешного возврата средств. Некоторые транзакции обрабатывались через официальную платежную инфраструктуру Google Play, что ограничивало возможности пользователей оспаривать платежи. Однако многие приложения полностью обходили платежную систему Google Play, перенаправляя жертв на сторонние платежные приложения UPI или используя встроенные формы оплаты картой.

Эти методы нарушали политику Google и значительно усложняли процесс возврата средств для пострадавших пользователей. Некоторые варианты повышали операционную гибкость за счет динамического получения URL-адресов платежей с серверов Firebase. Это позволяло злоумышленникам произвольно менять платежные учетные записи и значительно затрудняло автоматическое обнаружение системами безопасности.

Один из особенно обманчивых вариантов включал в себя психологическое манипулирование. Если пользователь пытался закрыть приложение, не завершив оплату, появлялись поддельные уведомления, утверждающие, что запрошенные результаты истории звонков только что поступили в почтовый ящик. Единственная цель этих уведомлений заключалась в том, чтобы заставить пользователей вернуть приложение и завершить оплату.

Региональное таргетирование и финансовые риски

Кампания была в первую очередь нацелена на пользователей в Индии и Азиатско-Тихоокеанском регионе. Многие приложения автоматически выбирали код страны +91 для Индии, чтобы создать у местных пользователей иллюзию легитимности. Стоимость подписки варьировалась от примерно 5 евро до 80 долларов США, и предлагались варианты еженедельной, ежемесячной и годовой оплаты.

Помимо непосредственных финансовых потерь, жертвы, вводившие данные платежных карт через неофициальные формы оформления заказа в приложении, могут столкнуться с дополнительными рисками, включая несанкционированные списания средств или неправомерное использование платежных данных.

Как CallPhantom использовал доверие, не имея опасных разрешений.

Одним из наиболее примечательных аспектов операции CallPhantom была ее способность наносить существенный финансовый ущерб, не запрашивая конфиденциальные разрешения Android. Вся мошенническая схема основывалась на социальной инженерии, а не на технической эксплуатации. Пользователей убеждали поверить в невыполнимые обещания, платить за сфабрикованную информацию и неосознанно передавать деньги через плохо защищенные платежные каналы.

Хотя подобные кампании, как CallPhantom, встречаются относительно редко, большинство операций киберпреступников в значительной степени основаны на запугивании, создании ощущения срочности или обмане, чтобы заставить пользователей загрузить программное обеспечение, совершить покупки или раскрыть конфиденциальную информацию.

Предупреждающие знаки и защитные меры

Все обнаруженные приложения CallPhantom распространялись через официальный магазин Google Play с использованием вводящих в заблуждение названий, вымышленных описаний и искусственно завышенных рейтингов, чтобы казаться заслуживающими доверия. Даже после удаления этих приложений Google, устройства, на которых они были установлены до удаления, всё ещё могут содержать это программное обеспечение.

Следующие меры безопасности могут помочь снизить риск столкнуться с подобными мошенническими схемами:

• Регулярно проверяйте установленные приложения и удаляйте любое программное обеспечение, связанное с подозрительными заявлениями или неизвестными разработчиками.
• Загружайте приложения только из надежных источников, таких как Google Play Store или проверенные сайты разработчиков, и критически оценивайте отзывы, которые кажутся слишком расплывчатыми или в целом положительными.
• Любое приложение, заявляющее о доступе к личной переписке, истории местоположений или записям звонков другого человека, по умолчанию следует рассматривать как мошенническое.
• Для повышения уровня защиты от новых угроз необходимо поддерживать мобильные операционные системы в актуальном состоянии и использовать надежные решения в области мобильной безопасности.

Наглядное напоминание о мошенничестве в мобильной связи.

Кампания CallPhantom служит убедительным напоминанием о том, что мошеннические приложения не всегда используют вредоносное ПО или сложные эксплойты для достижения успеха. Во многих случаях одной лишь психологической манипуляции достаточно, чтобы обеспечить миллионы загрузок и значительные финансовые потери. Любое приложение, обещающее несанкционированный доступ к личным данным другого человека, следует немедленно считать нелегальным и потенциально опасным.