Исследователи обнаружили новое вредоносное ПО, названное Crocodilus, которое направлено на пользователей Android и нацелено на кражу криптовалютных кошельков. Это ПО заставляет жертв раскрывать seed-фразы, делая это под предлогом создания резервной копии.
По информации компании ThreatFabric, Crocodilus распространяется через дроппер, который успешно обходить защиту Android 13 и более новых версий. Вредоносное ПО устанавливается без ведома пользователей, благодаря чему оно остается незамеченным системой Play Protect.
Когда жертва открывает банковское или криптовалютное приложение, Crocodilus накладывает фальшивый оверлей на истинное приложение, чтобы получить учетные данные. С помощью социальной инженерии злоумышленники вынуждают пользователей вводить свои seed-фразы. Исследователи утверждают, что данная тактика является одним из наиболее коварных элементов работы малвари.
В первую очередь, Crocodilus направлен на пользователей из Турции и Испании, на банковские счета и криптовалютные кошельки. Судя по отладочным сообщениям, вредоносный код имеет турецкое происхождение. Исходный способ заражения устройства не установлен, однако обычно жертв заманивают загрузить дропперы через вредоносные сайты или мошеннические рекламные кампании.
Малварь предоставляет злоумышленникам широкий круг возможностей, включая перехват SMS, управление вызовами и взаимодействие с устройством, так как она обладает функциями удаленного доступа. Операторы Crocodilus могут активировать черный оверлей, чтобы скрыть свою активность от жертвы, создавая впечатление, что устройство заблокировано.
Исследователи из «Лаборатории Касперского» также обнаружили, что Crocodilus является модифицированной версией трояна Triada, ранее гостившего в поддельных устройствах. Троян может использоваться для кражи криптовалюты, а также для атаки на аккаунты в мессенджерах и социальных сетях.
По данным экспертов, уже более 2,6 тыс. пользователей пострадали от этого вредоносного ПО, с похищением средств на сумму около $270 тыс. по состоянию на март 2025 года. Для предотвращения заражения рекомендуется покупать устройства только у авторизованных продавцов и использовать антивирусные решения.