Hakerzy wykorzystują fałszywy sklep Google Play do wydobywania kryptowalut i kradzieży środków

Traders Union
Wszystkie wiadomości
Kryptowaluty
Hakerzy wykorzystują fałszywe Google Play

Wszystkie wiadomości

Najważniejsze wydarzenia

Wybór redakcji

Kryptowaluty

Wiadomości finansowe

Waluty

Głosy rynku

Regulatorzy

Banki centralne

Sergey Shendetskyi

22.03.2026

Hakerzy wykorzystują fałszywy sklep Google Play do wydobywania kryptowalut i kradzieży środków — Użytkownicy Androida celem fałszywych aplikacji

W Brazylii wykryto nową złośliwą kampanię wymierzoną w użytkowników Androida. Atakujący ukrywają strony phishingowe jako oficjalny Sklep Google Play i dystrybuują aplikacje, które po zainstalowaniu są wykorzystywane do ukrytego wydobywania kryptowalut i kradzieży funduszy.

Ten artykuł został przetłumaczony z oryginału. Przeczytaj oryginalną wersję przygotowaną przez naszego korespondenta tutaj.

Według Cryptopolitan, atak łączy socjotechnikę z technicznie wyrafinowanymi metodami, przez co jest trudny do wykrycia nawet dla doświadczonych użytkowników.

Jak działa atak

Jak zauważa SecureList, kampania rozpoczyna się od strony phishingowej, która ściśle naśladuje interfejs Google Play. Użytkownicy są proszeni o pobranie aplikacji o nazwie INSS Reembolso, rzekomo powiązanej z brazylijskim systemem ubezpieczeń społecznych.

Po zainstalowaniu złośliwe oprogramowanie wdraża się etapami: najpierw pobiera zaszyfrowane komponenty, a następnie wykonuje główny ładunek bezpośrednio w pamięci urządzenia. Takie podejście nie pozostawia widocznych plików, ukrywając aktywność przed użytkownikiem.

Złośliwe oprogramowanie sprawdza również, czy działa w emulowanym środowisku i wyłącza się w przypadku wykrycia analizy. Gdy urządzenie zostanie uznane za "bezpieczne", ładuje dodatkowe moduły, w tym górnika opartego na XMRig, dostosowanego do urządzeń ARM. Łączy to smartfon z infrastrukturą kontrolowaną przez atakującego i wydobywa kryptowalutę w tle.

Aby pozostać niewykrytym, program monitoruje warunki urządzenia, takie jak poziom naładowania baterii, temperatura i aktywność użytkownika, aktywując wydobywanie tylko w odpowiednich warunkach. Omija również ograniczenia systemu Android, odtwarzając prawie niesłyszalny plik audio w celu symulacji aktywności aplikacji.

Kradzież i zdalny dostęp

Możliwości złośliwego oprogramowania wykraczają poza wydobywanie. W niektórych przypadkach instaluje trojana bankowego atakującego użytkowników Binance i Trust Wallet, szczególnie podczas transakcji USDT.

Złośliwe oprogramowanie nakłada fałszywe interfejsy na legalne aplikacje i po cichu zastępuje adresy portfeli. W rezultacie środki są przekierowywane bez wiedzy użytkownika.

Ponadto zainfekowane urządzenia mogą być wykorzystywane do nagrywania dźwięku, przechwytywania zrzutów ekranu, wysyłania wiadomości SMS i rejestrowania aktywności użytkownika. Dowodzenie i kontrola są obsługiwane za pośrednictwem Firebase Cloud Messaging - legalnej usługi Google - co utrudnia wykrycie.

Niektóre warianty wdrażają również BTMOB, narzędzie zdalnego dostępu dystrybuowane w modelu malware-as-a-service. Daje ono atakującym pełną kontrolę nad urządzeniem, w tym dostęp do kamery, GPS i danych uwierzytelniających.

Dlaczego ma to znaczenie dla rynku

Przypadek z Brazylii pokazuje, jak ewoluują zagrożenia w branży kryptowalut. Podczas gdy wcześniejsze zagrożenia były głównie związane z exploitami protokołów, atakujący coraz częściej atakują użytkowników za pomocą phishingu, fałszywych interfejsów i inżynierii społecznej.

Takie schematy stają się powszechne. Narzędzia MaaS, takie jak BTMOB, obniżają barierę wejścia, przyspieszając rozprzestrzenianie się ataków. W rezultacie nawet korzystanie z zaufanych platform nie gwarantuje bezpieczeństwa.

Dla firm oznacza to inwestowanie nie tylko w bezpieczeństwo infrastruktury, ale także w ochronę interakcji użytkowników - od ostrzeżeń po monitorowanie fałszywych domen. Binance i Google już zwiększają takie wysiłki, ale atakujący nadal szybko się dostosowują.

Dla użytkowników wniosek jest jasny: weryfikacja źródeł i unikanie linków stron trzecich ma kluczowe znaczenie. Wraz ze wzrostem phishingu czujność staje się podstawową linią obrony.

Jednocześnie ryzyko rośnie w różnych ekosystemach. Niedawno Google zidentyfikowało luki w zabezpieczeniach systemu iOS atakujące frazy seed portfela kryptowalut. Badacze z Google Threat Intelligence Group odkryli zestaw narzędzi o nazwie Coruna, zaprojektowany do atakowania iPhone'ów z systemem iOS w wersjach od 13.0 do 17.2.1. Potwierdza to, że ataki stają się wieloplatformowe i wpływają na użytkowników niezależnie od systemu, z którego korzystają.

Ten materiał może zawierać opinie osób trzecich, żadne dane ani informacje na tej stronie nie stanowią porady inwestycyjnej zgodnie z naszym Zastrzeżeniem. Chociaż przestrzegamy surowych Zasad Redakcyjnych, ten post może zawierać odniesienia do produktów naszych partnerów.

Czy spodobał Ci się ten artykuł?