Смартфон притворился мёртвым, но продолжил за вами следить. Разбор шпионского софта Cerberus
Рассказываем о ловушке, которую не заметят даже опытные пользователи.
Cerberus снова оказался в центре истории, где приложение для защиты телефона превращается в инструмент слежки. По данным Марка Эслера, автора технического блога hexproof, программа доступна в Google Play и может незаметно снимать владельца смартфона, записывать звук, отслеживать геолокацию и выполнять команды с удалённой панели управления.
Речь идёт о Cerberus Anti-theft от итальянской LSDroid SRL. Подписка стоит 5 евро в месяц, а актуальная версия находится в Google Play с 4 октября 2023 года. Эслер утверждает, что приложение умеет запускать скрытую съёмку с фронтальной и основной камеры, записывать видео и звук, читать контакты, журнал вызовов и SMS, отправлять сообщения от имени владельца, блокировать устройство, стирать данные и показывать заданный текст на экране блокировки.
Отдельное внимание в разборе уделено функции ложного выключения. Cerberus может показать почти неотличимый от системного экран завершения работы Android, затем затемнить дисплей, но оставить смартфон активным. В таком состоянии камера, микрофон и GPS продолжают работать.
У приложения есть и связанные компоненты. Lock Screen Protector, опубликованный тем же аккаунтом разработчика, запрашивает доступ к специальным возможностям Android. После выдачи разрешения программа может читать содержимое экрана, выполнять жесты и делать снимки экрана. При попытке выключить телефон она закрывает системное меню питания и передаёт Cerberus изображение экрана блокировки.
По словам Эслера, Cerberus уже фигурировал в академических работах как сталкерское ПО в отношениях. В 2018 году специалисты Cornell Tech и NYU сообщали о нём Google. Позднее приложение удалили из Google Play по другой причине, связанной с установкой программ из сторонних источников. В 2023 году Cerberus вернулся в магазин под новым именем пакета, но, как утверждает автор разбора, сохранил большую часть прежних возможностей.
В публикации также говорится, что несколько приложений LSDroid используют библиотеку HiddenApiBypass, которая помогает обращаться к скрытым функциям Android. По мнению автора, такой компонент и набор возможностей Cerberus противоречат правилам Google Play о вредоносном поведении и сталкерском ПО.
Google, по данным разбора, связан с Cerberus сразу через несколько сервисов. Google Play распространяет приложения, AdMob показывает рекламу, а Firebase используется для передачи команд на устройства. Автор утверждает, что Google получил уведомление до публикации, но на момент выхода материала приложения оставались доступными.
Для пострадавших главный риск связан не только со слежкой, но и с попыткой самостоятельного удаления. Cerberus и связанные компоненты могут сообщать оператору о смене разрешений и других действиях на устройстве. Специалисты по защите жертв домашнего насилия обычно советуют проверять такие телефоны только с безопасного устройства и при поддержке профильных организаций.