Мини-приложения Telegram используются для криптомошенничества и распространения вредоносного ПО на Android.

[zender]

Исследователи в области кибербезопасности обнаружили масштабную мошенническую операцию, использующую функцию мини-приложения Telegram для проведения криптовалютных афер, выдачи себя за известные бренды и распространения вредоносного ПО для Android.


В новом отчете CTM360 говорится, что платформа под названием FEMITBOT основана на строке, обнаруженной в ответах API, и использует ботов Telegram и встроенные мини-приложения для создания убедительных, похожих на приложения, интерфейсов непосредственно в мессенджере.


Мини-приложения Telegram — это легковесные веб-приложения , работающие во встроенном браузере Telegram и предоставляющие такие услуги, как платежи, доступ к учетной записи и интерактивные инструменты, без необходимости покидать приложение.

Злоупотребление мини-приложениями Telegram​

Согласно отчету CTM360, предоставленному BleepingComputer, платформа FEMITBOT используется для осуществления различных видов мошенничества, включая поддельные криптовалютные платформы, финансовые услуги, инструменты искусственного интеллекта и стриминговые сайты.


В различных кампаниях злоумышленники выдавали себя за широко известные бренды, чтобы повысить доверие и вовлеченность аудитории, используя при этом одну и ту же серверную инфраструктуру с разными доменами и Telegram-ботами.

В этой рекламной кампании имитируются такие бренды, как Apple, Coca-Cola, Disney, eBay, IBM, Moon Pay, NVIDIA, YouKu.

Приложение Telegram Mini, имитирующее NVIDIA.
Источник: CTM360

Исследователи утверждают, что в этой схеме используется общая серверная часть, где несколько фишинговых доменов используют один и тот же ответ API: «Добро пожаловать на платформу FEMITBOT», что указывает на использование ими одной и той же инфраструктуры.

В кампаниях FEMITBOT обнаружен ответ API.
Источник: CTM360

Операция использует ботов Telegram для отображения фишинговых сайтов непосредственно в социальной сети. Когда пользователь взаимодействует с ботом и нажимает кнопку «Старт», бот запускает мини-приложение, которое отображает фишинговую страницу во встроенном WebView Telegram, создавая впечатление, что она является частью самого приложения.


Оказавшись внутри, жертвам показывают панели управления с фальшивыми балансами или «доходами», часто в сочетании с таймерами обратного отсчета или предложениями, действующими в течение ограниченного времени, чтобы создать ощущение срочности.


Когда пользователи пытаются вывести средства, им предлагается внести депозит или выполнить реферальные задания — распространенная тактика в мошеннических схемах, связанных с инвестициями и получением авансов.


Исследователи утверждают, что инфраструктура предназначена для использования в различных кампаниях, что позволяет злоумышленникам легко менять фирменную символику, языки и темы оформления.


В рекламных кампаниях также используются скрипты отслеживания, такие как пиксели отслеживания Meta и TikTok, для отслеживания активности пользователей, измерения конверсий и, вероятно, оптимизации эффективности.


Некоторые мини-приложения также пытались распространять вредоносное ПО в виде APK-файлов для Android, которые имитировали такие бренды, как BBC, NVIDIA, CineTV, Coreweave и Claro.

Некоторые из APK-файлов для Android, распространяемых FEMITBOT.
Источник: CTM360

Пользователям предлагается загрузить APK-файлы для Android, открыть ссылки во встроенном браузере или установить прогрессивные веб-приложения, имитирующие легитимное программное обеспечение.

«Названия APK-файлов тщательно подобраны таким образом, чтобы имитировать названия легитимных приложений или иметь случайный вид, не вызывающий сразу подозрений», — поясняет CTM360.


«APK-файлы размещены на том же домене, что и API, что обеспечивает действительность TLS-сертификата и предотвращает появление предупреждений о смешанном контенте в браузере».


Пользователям следует проявлять осторожность при взаимодействии с Telegram-ботами, которые рекламируют инвестиции в криптовалюту или предлагают запустить мини-приложения, особенно если их просят внести средства или загрузить приложения.


Как правило, пользователям Android следует избегать установки APK-файлов из сторонних источников, поскольку они часто используются для распространения вредоносного ПО вне Google Play Store.