Привет! Это Камиль Камалетдинов и Егор Григорьев, специалисты Angara SOC. Мы обнаружили и изучили вредоносное ПО, которое злоумышленники распространяют в тематических группах, посвященных поиску пропавших в зоне СВО.

По подсчетам экспертов Отдела защиты бренда Angara SOC, на 43% каналов, посвященных поиску пропавших в зоне СВО, распространяются APK-файлы, содержащие вредоносное ПО.

С начала 2025 года в мессенджереTelegram все чаще стали появляться тематические группы с названиями «Поиск пропавших на СВО», «Пропавшие без вести СВО», созданные для помощи родственникам и волонтерам. Этим воспользовались злоумышленники, которые быстро придумали новую схему обмана пользователей.

Мошенники создают каналы с похожими названиями. На первый взгляд, такие ресурсы выглядят как каналы для помощи в поиске пропавших людей или как обычные информационные сообщества. В группах публикуются новостные посты о ходе СВО и списки пропавших военнослужащих в виде фотографий, PDF-и Excel-файлов с фамилиями и данными пропавших.

Но спустя некоторое время в этих же группах начинают появляться APK-файлы с названиями: «Списки действующих бойцов», «Список СВО», «Список погибших», «Список пленных». Также в группах могут публиковаться ссылки для скачивания этих файлов. Данные файлы, как утверждают авторы, содержат «расширенные списки» или «приложение с интерактивным поиском пропавших людей». Как правило, данные сообщения сопровождаются отзывами о работоспособности данного «приложения».

В действительности эти файлы представляют собой вредоносное программное обеспечение, способное получить доступ к персональным данным, банковским приложениям и управлению устройством.

 Описание приложений

Специалисты Отдела реагирования и цифровой криминалистики Angara SOC обнаружили в таких APK-файлах банковский троян Mamont для ОС Android. Приложения в результате установки имеют следующий вид на устройстве:

Их цель — обмануть жертву и заставить ВПО работать скрытно под видом обычного приложения. При этом злоумышленники в качестве иконки приложения «Списки госпиталей.apk» выбрали изображение документа в формате PDF, чтобы обманом заставить запустить вредоносное приложение.

При установке приложений «Списки госпиталей.apk» и «Список пропавших на 1.07.2025.apk» они запрашивают разрешение на получение доступа к SMS и на работу в качестве основного сервиса для работы с SMS.

Помимо перечисленных выше запросов, при установке на устройство приложения запрашивают и другие разрешения (с высоким риском) для реализации заложенного вредоносного функционала.

Табл. 1. Запрашиваемые разрешения приложений

В результате получения указанных разрешений ВПО семейства Mamont может:

·         собирать информацию об устройстве и отправлять ее на сервер злоумышленника;

·         осуществлять перехват и отправку SMS-сообщений с зараженного устройства;

·         совершать звонки;

·         получать информацию истории звонков, контакты, список приложений, установленных на устройстве, историю SMS-сообщений;

·         перехватывать Clipboard data — данные из буфера обмена;

·         получать доступ к пользовательским файлам.

При запуске приложений происходит перенаправление на страницы с возможностью «поиска пропавших в СВО». Например, приложение «Список пропавших на 1.07.2025.apk» перенаправляет на страницу svo-poisk[.]net, которая выглядит следующим образом:

Несмотря на то, что данные приложения при установке запрашивают схожие разрешения, их функционал имеет некоторые различия.

Рассмотрим детально принцип работы каждого из приложений.

 Принцип работы приложений «Список пропавших на 1.07.2025.apk» и «Списки госпиталей.apk»

Приложения «Список пропавших на 1.07.2025.apk» и «Списки госпиталей.apk» имеют одинаковый функционал. В ходе работы они с непродолжительным интервалом получают следующие команды от управляющего сервера:

Табл. 2. Команды, получаемые приложениями от управляющего сервера

В результате выполнения данных команд вся полученная с устройства жертвы информация в зашифрованном виде (в формате GZIP или JSON) отправляется через Telegram-бот на сервер злоумышленников.

Табл. 3. Отправка данных с устройства методом POST в бот из приложения «Список пропавших на 1.07.2025.apk»

Табл. 4. Отправка данных с устройства методом POST в бот из приложения «Списки госпиталей.apk»

Принцип работы приложения «Списки действующих бойцов (1).apk»

Приложение «Списки действующих бойцов (1).apk» также относится к семейству ВПО Mamont, однако оно было собрано другой версией билдера или другим автором, вследствие чего имеет некоторые отличия.

Это приложение осуществляет проверку на наличие определенных приложений, установленных на зараженном устройстве.

Однако в остальном программа обладает схожим функционалам с ранее рассмотренными приложениями: оно может перехватывать SMS-сообщения и звонки, собирает информацию об устройстве. При этом в программу статично вшит адрес управляющего сервера и иных серверов, принадлежащих злоумышленникам, на которые отправляется полученная информация.

Таким образом, телефон фактически оказывается в руках мошенников. Используя полученную информацию, злоумышленники могут получить доступ к банковским приложениям и мессенджерам пользователя, осуществить покупку и т.д., в результате чего могут пострадать еще и родственники пользователя.

Списки индикаторов (IOC)

Табл. 5. Список индикаторов для приложения «Списки действующих бойцов (1).apk»

 Табл. 6. Список индикаторов для приложения «Списки госпиталей.apk»

 Табл. 7. Список индикаторов для приложения «Список пропавших на 1.07.2025.apk»

Подводя итоги

Рекомендуем отключить автозагрузку файлов в Telegram и внимательно проверять формат файлов перед их скачиванием. Как правило, различного рода списки публикуют в форматах «.docx», «.xlsx» и «.pdf». Перед скачиванием файлов в данных форматах рекомендуем проверять их на специальных сервисах, например VirusTotal. Также рекомендуем использовать на своем мобильном устройстве антивирусные приложения.

Не стоит заниматься поиском пропавших людей в тематических Telegram-группах, так как здесь вы рискуете столкнуться с мошенниками. Для поиска пропавшего военнослужащего рекомендуем обращаться в официальные организации, например в Государственный фонд «Защитники Отечества».