Дешевые телефоны идут с поддельным WhatsApp, который крадет криптовалюту

Поддельная версия WhatsApp, предустановленная на дешевых телефонах Android, крадет криптовалюту, заменяя адреса кошельков и сканируя данные пользователей.

Исследователи в области безопасности обнаружили опасную аферу, связанную с дешевыми смартфонами Android, на которых предварительно установлены поддельные приложения, предназначенные для кражи криптовалюты. Согласно информации от российской антивирусной компании Doctor Web, о мошеннической кампании впервые сообщили в середине 2024 года, и с тех пор она значительно расширилась.

Атакующие ставят в прицел пользователей, которые приобретают недорогие смартфоны, похожие на известные модели, такие как «S23 Ultra» или «Note 13 Pro». Эти телефоны часто утверждают, что работают на Android 14, но на самом деле используют модифицированную версию Android 12, с поддельными системными характеристиками.

В центре этой аферы находится троянизированная версия WhatsApp, которая тайно установлена на этих телефонах. С помощью инструмента под названием LSPatch, хакеры добавили скрытый модуль в приложение. Как только он активирован, он незаметно перехватывает и изменяет скопированные адреса криптовалютных кошельков, метод, известный как «клиппинг».

Вредоносное ПО обманывает и отправителя, и получателя. Компания Doctor Web объясняет, что «в случае исходящего сообщения, скомпрометированное устройство отображает корректный адрес кошелька жертвы, в то время как получателю… показывается адрес кошелька мошенников.»

Эта версия WhatsApp также отправляет все сообщения пользователя хакерам и сканирует устройство на наличие изображений с фразами восстановления, которые часто используются для доступа к криптовалютным кошелькам. Многие пользователи делают скриншоты этих фраз, предоставляя хакерам полный доступ, если они найдены.

Доктор Веб дал трояну название Shibai. По сообщениям, он затрагивает около 40 приложений, включая Telegram, Trust Wallet и MathWallet. В ходе кампании используется более 60 серверов и 30 доменов, а некоторые хакерские кошельки получили более 1 миллиона долларов в украденной криптовалюте.