Троян для Android и iOS ворует биометрические данные пользователей

Новый троян GoldPickaxe, версии которого существуют как для Android, так и для iOS, ворует сканы лиц пользователей и их документы. В дальнейшем эти данные используются для обмана систем защиты от мошенников, которые используют многие финансовые сервисы.

Начинается всё с того, что жертва получает сообщение в мессенджере, написанное от имени некоего официального лица (хорошо отработанная схема «Здравствуйте, я из службы безопасности»). Далее человека убеждают установить якобы официальное государственное приложение, чтобы получить финансовую выгоду — конкретный предлог может варьироваться.

После установки вредоносного приложения начинается самое интересное: троян просит пользователя пройти процедуру биометрической идентификации — загрузить фото удостоверения личности и покрутить головой в камеру. Фото документа и видеоселфи загружаются на сервер злоумышленников.

Дополнительные действия трояна отличаются в зависимости от операционной системы:

🤖 Версия для Android, помимо сбора биометрии и фото документов, умеет ещё очень много чего. Во-первых, троян ворует фотографии из галереи и перехватывает SMS. А во-вторых, использует так называемые «Специальные возможности» (Accessibility) для того, чтобы перекрывать интерфейс легитимных приложений (финансовых или государственных), воровать таким образом логины и пароли и совершать различные действия от имени пользователя.

🍏 В версии для iOS троян умеет собирать биометрию и документы, воровать фотографии из галереи и с помощью отдельного расширения читать SMS пользователя. Первоначально злоумышленники использовали для распространения TestFlight. После того, как троян был удалён оттуда, они переключились на использование вредоносных MDM-профилей.

Сейчас GoldPickaxe распространяется в Таиланде и во Вьетнаме, но киберпреступники из разных стран быстро перенимают лучшие практики друг у друга. Так что не стоит отвечать, если в мессенджере напишут «из службы безопасности».