RedHook на Android использует Wireless ADB: что проверить, если приложение просит Accessibility

Исследователи Group-IB описали новую версию Android-трояна RedHook. Она использует не ошибку в Android, а сочетание опасных разрешений и встроенных инструментов отладки: после установки вредоносного APK приложение уговаривает пользователя включить службу Accessibility, а затем само проходит по настройкам, активирует режим разработчика и Wireless ADB.

Для владельца телефона это не повод отключать все функции подряд. Важнее понимать условие атаки: программа должна оказаться на устройстве, а пользователь должен дать ей доступ к специальным возможностям. Поэтому новость полезна как напоминание спокойно проверить, какие приложения имеют расширенные права на Android.

Что известно о RedHook

RedHook относится к Android-троянам удаленного доступа. По данным Group-IB, новая версия умеет показывать поддельные экраны, перехватывать ввод, собирать данные, запускать действия в интерфейсе и поддерживать связь с управляющим сервером. Распространяют ее через сообщения и звонки от имени банков, госслужб или других знакомых организаций. Пользователя направляют на сайт, похожий на магазин приложений, и убеждают установить APK.

Главное отличие этой версии — злоупотребление Wireless ADB, то есть беспроводной отладкой Android. После того как жертва дает приложению право Accessibility, троян может имитировать нажатия на экране: открыть параметры разработчика, включить беспроводную отладку, получить код сопряжения и подключиться к ADB на самом же телефоне через локальный адрес. Компьютер и USB-кабель для этой цепочки не нужны.

Так приложение получает права уровня shell, UID 2000. Это не root-доступ и не «взлом» любого телефона извне. Но таких прав достаточно, чтобы тихо менять часть защищенных настроек, устанавливать или удалять приложения и выполнять команды без привычных окон подтверждения. В этом и состоит риск: обычное вредоносное приложение получает больше возможностей после того, как ему помогают расширенные разрешения.

Кого касается эта история

Прежде всего тех, кто ставит приложения по ссылке из сообщения, открывает APK, присланный «банком» или «поддержкой», либо соглашается включить специальные возможности ради обещанной услуги. Для обычного владельца Android Wireless ADB чаще всего вообще не нужна: она предназначена для разработки и настройки продвинутыми пользователями.

Угроза не означает, что включенный Wi-Fi сам по себе дает злоумышленнику доступ к телефону. В описанной цепочке нужен уже установленный вредоносный APK и разрешение Accessibility. Поэтому главная защита здесь не в поиске неизвестной технической настройки, а в аккуратной установке приложений и внимании к правам, которые они запрашивают.

Отдельно стоит помнить о легитимных инструментах для Android-энтузиастов. Wireless ADB и Shizuku могут использоваться для нормальной настройки телефона. Опасность возникает, когда незнакомое приложение заставляет включить их в обход понятного сценария и без объяснения, зачем это нужно.

Что проверить на телефоне

Сначала откройте настройки Android и раздел специальных возможностей. Просмотрите список служб Accessibility: там не должно быть приложений, которые вы не узнаете или не помните, зачем включали. Отключите неизвестную службу и удалите само приложение обычным способом. Если система не дает удалить его или кнопки ведут себя странно, лучше остановиться и провести проверку со специалистом.

Затем зайдите в параметры разработчика. Если вы не используете их для работы или настройки, убедитесь, что беспроводная отладка выключена. Не включайте ее «для проверки» и не передавайте коды сопряжения по звонку, в мессенджере или через форму на сайте. Такие коды предназначены для вашего собственного компьютера и устройства, а не для людей, выдающих себя за сотрудников банка или технической поддержки.

Проверьте также список недавно установленных программ и разрешение на установку из неизвестных источников. Если приложение появилось после сообщения, рекламы или разговора с незнакомцем, удалите его, обновите Android и запустите проверку Play Protect. Не переходите в магазин приложений по чужой ссылке: нужную программу лучше искать самостоятельно в Google Play или на официальной странице сервиса.

Если в последние дни вы вводили банковские данные или коды подтверждения в подозрительном приложении, свяжитесь с банком по номеру с его официального сайта или карты. Не используйте номер, присланный в том же сообщении. При признаках удаленного управления, самопроизвольных установках или необычных окнах нужна более глубокая проверка телефона и учетных записей.

Когда лучше не тратить время и обратиться к специалистам

Если приложение уже получило расширенные разрешения, не удаляется обычным способом, само открывает окна или устанавливает другие программы, одной поверхностной проверки может быть мало. Важно проверить специальные возможности, администраторов устройства, установку из неизвестных источников, учетные записи и сетевые настройки, а затем убедиться, что телефон снова получает обновления и работает штатно.

Почему стоит выбрать ExShare

Команда ExShare помогает с безопасностью устройств, проверкой подозрительных программ и настройкой Android. Связаться можно через форму на сайте, WhatsApp или Telegram, а также по телефону. Если незнакомое приложение уже получило расширенные разрешения, лучше зафиксировать, что происходит на экране, и не выдавать ему новые права до проверки.

Итоги

RedHook показывает, почему разрешение Accessibility нельзя выдавать приложению только потому, что его об этом попросили по телефону или в сообщении. Новость не говорит о новой уязвимости Android: цепочка начинается с установки вредоносного APK и согласия на специальные права. Практическое действие простое — проверить неизвестные службы Accessibility, отключить ненужную Wireless ADB и устанавливать программы только из понятных официальных источников.

Дополнительный материал ExShare: Удаленное удаление вирусов.

Практический материал по теме: Безопасность и защита.