В конце августа 2024 года эксперты «Лаборатории Касперского» обнаружили, что в несколько популярных приложений в Google Play и на неофициальных площадках проникла новая версия вредоносного ПО Necro. Это загрузчик для Android, который скачивает и запускает на заражённом смартфоне другие вредоносные компоненты в зависимости от того, какие команды дадут создатели трояна.
В рамках этой вредоносной кампании решения «Лаборатории Касперского» зарегистрировали атаки Necro на пользователей в России, Бразилии, Вьетнаме, Эквадоре и Мексике.
Обнаруженный специалистами «Лаборатории Касперского» вариант Necro может загружать на заражённый смартфон модули, которые показывают на устройстве рекламу в невидимых окнах и прокликивают её, скачивают исполняемые файлы, устанавливают на телефон сторонние приложения, открывают в невидимых окнах произвольные ссылки в WebView и исполняют там произвольный JavaScript-код, а также могут оформлять платные подписки. Кроме того, загружаемые модули дают злоумышленникам возможность пересылать интернет-трафик через устройство жертвы. Это позволяет атакующим якобы от лица жертвы посещать нужные им ресурсы, например запрещённые, а также использовать заражённый гаджет как часть прокси-ботнета.
Первой находкой киберэкспертов, в которой скрывался Necro, оказался модифицированный Spotify Plus. Его авторы заявляли, что программа не представляет вреда для устройства и содержит множество дополнительных функций, которых нет в официальном приложении для прослушивания музыки. Позднее специалисты также обнаружили изменённую версию WhatsApp с загрузчиком Necro, а следом — заражённые модификации игр, среди которых: Minecraft, Stumble Guys, Car Parking Multiplayer. Necro попал в приложения в составе непроверенного рекламного модуля.
Распространением на сторонних площадках кампания Necro не ограничилась. Специалисты обнаружили троян и в Google Play. Вредоносный загрузчик был обнаружен в приложении Wuta Camera и в браузере Max Browser. Согласно данным из Google Play, общее количество скачиваний этих приложений превысило 11 миллионов.
«Лаборатория Касперского» сообщила Google о заражениях. В результате этого из приложения Wuta Camera был удалён вредоносный код, а приложение Max Browser было удалено из магазина. Однако пользователи по-прежнему рискуют столкнуться с Necro на неофициальных площадках.