Как троян Herodotus крадёт деньги на Android и как защититься от него

Новая волна киберугроз затронула пользователей Android по всему миру. Исследователи обнаружили зловредное ПО под названием Herodotus — это банковский троян нового поколения, который умеет имитировать действия человека на экране смартфона. Он нажимает кнопки, делает свайпы и даже перехватывает SMS-коды. Всё это позволяет ему совершать финансовые операции от имени жертвы, оставаясь при этом практически незаметным. В этой статье от KP подробно разбирается, как именно работает Herodotus, чем он отличается от других вирусов, какими способами проникает на устройство и какие существуют эффективные меры защиты. Обратите внимание: речь идёт не о теоретической угрозе, а о реальной и уже действующей кибератаке.

Что представляет собой вирус Herodotus и почему он опасен

Herodotus — это не просто вредоносная программа, а целый комплекс инструментов для мошенничества. Он был выявлен специалистами по безопасности из компании ThreatFabric, и уже активно используется в Италии и Бразилии.

Имитатор действий пользователя: принципиально новый подход

Главное отличие Herodotus — в способности повторять действия обычного человека. Он не просто запускает команды, а делает паузы между действиями, имитирует касания и свайпы с реалистичной скоростью и траекторией. Такое поведение помогает ему обходить системы антифрода, основанные на поведенческом анализе.

Сложность обнаружения и обход биометрических защит

Многие банки используют поведенческую биометрию для определения мошенничества. Однако Herodotus действует настолько правдоподобно, что такие системы не распознают его как угрозу. Это значительно повышает риск кражи средств даже у опытных пользователей.

Как вирус попадает на устройство и активируется

Проникновение Herodotus на смартфон начинается с момента, когда пользователь устанавливает заражённое приложение или переходит по вредоносной ссылке. После этого троян получает необходимые разрешения и приступает к выполнению своих функций.

Основные каналы заражения: от фишинга до поддельных загрузчиков

Вирус чаще всего проникает через сторонние APK-файлы, маскируясь под легитимные приложения. Также он может распространяться через фишинговые ссылки в мессенджерах, социальных сетях или электронных письмах. Иногда используется реклама в браузере, которая предлагает обновить или установить якобы полезную утилиту.

Получение доступа к службам доступности и подмена окон

После установки Herodotus запрашивает доступ к службам доступности — это ключевой момент. Эти разрешения дают ему возможность накладывать фальшивые окна поверх других приложений. В результате, когда пользователь открывает свой банковский интерфейс, он видит не настоящий экран, а его точную копию, созданную вирусом.

Что делает Herodotus после активации: функциональность трояна

Когда вирус получает все необходимые разрешения, он начинает активно взаимодействовать с интерфейсом устройства, собирая и подменяя информацию.

Подмена банковских интерфейсов: ловушка для пользователя

Herodotus отслеживает, когда пользователь запускает банковское приложение. В этот момент он накладывает поверх него своё окно, которое визуально не отличается от оригинала. Человек вводит логин, пароль, код из SMS — и все данные тут же уходят на сервер злоумышленников. Одновременно может быть инициирован денежный перевод без ведома владельца.

Передача информации и запуск фальшивых сценариев

Троян также собирает данные о всех установленных приложениях. Это помогает вирусу заранее подготовить шаблоны подмены для конкретных банков и активировать их в нужный момент. Таким образом обеспечивается максимальная точность атаки.

Почему традиционные методы защиты не справляются с Herodotus

Сложность выявления Herodotus заключается не только в его маскировке, но и в применении методов, имитирующих естественное поведение. Это делает устаревшими многие традиционные подходы к защите.

Адаптация под поведение пользователя и антифрод-системы

Herodotus намеренно создаёт паузы между действиями, изменяет скорость свайпов, использует различную продолжительность касаний — всё это делает его действия идентичными действиям настоящего человека. Системы, которые раньше позволяли распознать ботов, теперь становятся бесполезны.

Опасность ложного чувства безопасности

Пользователь может быть абсолютно уверен, что взаимодействует со своим банком. Он видит привычный интерфейс, вводит логин и пароль, получает SMS-код. Всё кажется нормальным — до момента, когда обнаруживается несанкционированный перевод.

Как распознать заражение и какие признаки могут насторожить

Несмотря на высокую степень маскировки, есть несколько косвенных признаков, по которым можно заподозрить, что устройство заражено Herodotus.

Изменения в поведении смартфона и неожиданные окна

Если на экране появляются странные окна поверх привычных приложений, наблюдается притормаживание при открытии банковских интерфейсов или запрашиваются лишние разрешения — это может быть тревожным сигналом. Также стоит насторожиться, если приложение требует доступ к службам доступности без видимой причины.

Фоновая активность и повышенное потребление ресурсов

Некоторые пользователи сообщают о повышенном расходе батареи или перегреве устройства без нагрузки. Это может быть следствием фоновой активности трояна.

Что делать, если устройство заражено: пошаговая инструкция

При малейшем подозрении на наличие Herodotus необходимо немедленно принять меры. Промедление может привести к потере денег и конфиденциальной информации.

Переключение в автономный режим и отключение интернета

Первый шаг — включить режим полёта. Это отключит все соединения и прекратит передачу данных вирусом. Также рекомендуется временно отключить Wi-Fi и Bluetooth.

Сброс настроек до заводских и переустановка системы

Самый эффективный способ избавиться от Herodotus — полный сброс устройства до заводских настроек. Только это позволяет полностью удалить вредоносный код. Перед сбросом важно сохранить нужные файлы на внешнем носителе.

Изменение паролей и уведомление банка

После очистки устройства необходимо сменить все пароли, особенно от банковских и почтовых аккаунтов. Также стоит сообщить в банк о возможной утечке данных и заблокировать карту при необходимости.

Как предотвратить заражение: простые правила цифровой гигиены

Профилактика всегда эффективнее лечения. Ниже перечислены основные шаги, которые помогут минимизировать риск заражения Herodotus и другими аналогичными вирусами.

Не устанавливайте приложения из неизвестных источников

Используйте только Google Play или официальные сайты разработчиков. Никогда не загружайте APK-файлы из Telegram-каналов, форумов или сомнительных сайтов.

Проверяйте разрешения при установке приложений

Обращайте внимание на список разрешений. Если приложение требует доступ к SMS, контактам или службам доступности — проверьте, оправдано ли это.

Регулярно сканируйте устройство антивирусом

Установите надёжное антивирусное приложение и регулярно выполняйте полную проверку. Встроенный Google Play Protect также должен быть включён.

Обновляйте систему и приложения

Каждое обновление операционной системы содержит важные патчи безопасности. Не откладывайте установку обновлений, даже если кажется, что всё работает стабильно.

Herodotus — киберугроза нового поколения

Herodotus — это сигнал о том, что киберпреступность эволюционирует. Вирус способен действовать как человек, обходить поведенческие фильтры и незаметно красть деньги. Он представляет серьёзную угрозу для всех владельцев Android-смартфонов.

Однако при соблюдении базовых правил безопасности и внимательности можно значительно снизить риски. Технологии защиты продолжают развиваться, но пока именно информированность пользователя остаётся главным щитом от киберугроз.

Ранее мы писали о том, что мошенники в WhatsApp рассылают сообщение «Проголосуй за Марию» — ссылка ведёт на фейк.

Источник