Herodotus: удаление трояна для Android

Краткое введение

Herodotus — недавно обнаруженный активно развиваемый троян, доступный как MaaS (malware-as-a-service). В основе — самописный движок с заимствованными функциями от известных банковских троянов. Главная цель зловреда — получить контроль над устройством с целью перехвата 2FA, подмены вводимых данных и вывода денег с банковских счетов.

Скульптура Геродота смотрит на телефон с тревогой

Как работает троян Herodotus

Herodotus распространяется преимущественно через SMiShing (фишинговые SMS) и вредоносные веб-страницы, которые убеждают пользователя «сайдлоадить» приложение. После установки зловред требует включения Службы специальных возможностей (Accessibility Service) и автоматически переводит пользователя в соответствующие настройки.

Как только доступ получен, приложение накладывает фальшивый полноэкранный оверлей с надписями «загрузка» или «проверка», под которым в фоновом режиме выполняются все вредоносные действия. Основные стадии атаки:

Сканирование системы: перечисление установленных приложений, включённых функций и доступов; отправка результатов на командно‑контрольный (C2) сервер.
Получение команд: C2 отправляет сценарии — открыть конкретное банковское приложение, ввести данные, перехватить SMS 2FA, совершить нажатия и свайпы.
Маскировка ввода: эмуляция печати с паузами 0.3–3 секунд между символами, чтобы имитировать человеческое поведение и обманывать системы, анализирующие поведение ввода.

Herodotus продаётся как услуга, поэтому множество независимых операторов уже используют этот инструмент. Сам по себе он сочетает в себе возможности удалённого выполнения команд и сложную логику оверлеев для сокрытия своей активности.

Технические детали полезные для реагирования

Требуемые разрешения: Accessibility Service, отображение поверх других окон, возможный Device Admin. Иногда запрашиваются разрешения на чтение SMS и работу в фоне.
Сетевые коммуникации: обмен с C2 по HTTPS/HTTP(S) с возможным шифрованием полезной нагрузки. Точные домены постоянно меняются у разных операторов MaaS.
Поведение анти‑детекции: случайные задержки ввода, эмуляция касаний, фальш‑оверлеи, удалённое выполнение задач.

Важно: нет универсального, постоянного «хеша» файла — операторы создают варианты. Поэтому опираться нужно на поведение и признаки, а не только на имя пакета.

Признаки заражения и как их обнаружить

Ниже — список явных индикаторов присутствия Herodotus или похожих троянов.

Неожиданные полноэкранные оверлеи с надписями «загрузка» или «проверка» при открытии банковских приложений. Это частый способ скрыть автоматические операции.
Неизвестные приложения с правами специальных возможностей. Проверьте: Settings → Accessibility → Downloaded Apps. Если видите незнакомое приложение с включённым доступом — это тревожный сигнал.

Настройки специальных возможностей Android

Необычная SMS‑активность: поступление 2FA‑сообщений, которые вы не инициировали, или сообщения, которые исчезают/перехватываются.
Внезапное падение автономности и возросший сетевой трафик. Herodotus запускает фоновые задания и соединения с C2, что заметно по расходу ресурсов. Проверьте: Settings → Battery и посмотрите, какие приложения потребляют больше всего.

График разряда батареи, показывающий нагрузку приложений

Запросы на специальные права: Device Admin или Display over other apps. Проверьте: Settings → Privacy Protection → Special Permissions.

Список специальных разрешений в настройках Android

Контрольный чеклист для быстрой проверки

Откройте Accessibility и проверьте список приложений с доступом.
Проверьте активные администраторы устройства (Device admin).
Просмотрите список установленных приложений на предмет незнакомых пакетов.
Проверяйте логи SMS/уведомлений — нет ли повторяющихся 2FA.
Запустите Play Protect и выполните сканирование.

Как предотвратить заражение

Никогда не устанавливайте приложения из ссылок в SMS или из всплывающих браузерных диалогов. Официальные обновления и приложения идут через Google Play или репутациионные магазины.
Если приложение внезапно просит включить Accessibility — это яркий красный флаг. Откажитесь и удалите приложение.
Включите Play Protect в Google Play: откройте меню → Play Protect → убедитесь, что сканирование включено.
Не используйте одноразовые коды из SMS как единственный фактор аутентификации для банковских операций — по возможности перейдите на приложения‑аутентификаторы.
Минимизируйте предоставляемые приложениям разрешения: отклоняйте Display over other apps и права администратора, если они не оправданы.

Действия при подтверждённом заражении — пошаговый план (инцидент‑ранбук)

Ниже приведён практический и воспроизводимый план действий для пользователя и IT‑специалиста.

Важное: выполняйте шаги в указанной последовательности, чтобы минимизировать потенциальные денежные потери.

Немедленно переведите устройство в авиарежим (или отключите мобильные данные и Wi‑Fi). Это прерывает связь с C2 и блокирует удалённые команды.
Используйте другое чистое устройство (не подключённое к заражённому) для смены паролей и уведомления банка.
Попытайтесь удалить приложение обычным способом: Settings → Apps → Выберите подозрительное приложение → Uninstall.
Если удаление невозможно, отключите её права в Accessibility: Settings → Accessibility → Downloaded Apps → отключите доступ.
Отозовите специальные разрешения: Settings → Privacy Protection → Special Permissions → снимите Device Admin и Display over other apps.
Перезагрузите устройство в безопасном режиме и удалите приложение оттуда, если ранее не удалось.
Запустите полное сканирование Play Protect и стороннего антивируса из Google Play (рекомендовано использовать проверенные продукты).
Со свежего устройства смените пароли всех критичных аккаунтов (почта, банки, мессенджеры), отключите активные сессии и переведите 2FA на аппаратные ключи или приложение‑аутентификатор.
Если имеются признаки несанкционированных переводов — немедленно свяжитесь с банком и подайте заявление.
Если сомневаетесь в чистоте системы — резервная копия данных и полный сброс до заводских настроек гарантирует удаление устойчивых бэкдоров.

Команды для IT‑реагирования (резюме)

Изолировать устройство — авиарежим/отключение сети.
Снять права Accessibility и Device Admin.
Удалить приложение в безопасном режиме.
Просканировать устройство и провести аудит доступов.
Сменить пароли и отозвать сессии.
Сообщить банку и при необходимости органам.

Play Protect и сторонние сканеры: как их использовать

Play Protect — первый уровень защиты. Перейдите в Google Play → меню → Play Protect и запустите сканирование. Play Protect способен обнаруживать многие семейства троянов, но не гарантирует 100% защиту, особенно если злоумышленник использует полиморфизм и скрытые механизмы.

Рекомендации:

Используйте авторитетные антивирусы из Play Store для второго мнения (читайте отзывы и проверяйте рейтинги).
После удаления запустите повторное сканирование и наблюдайте за поведением устройства в течение суток.

Страница сканирования Play Protect в Google Play

Ролевые чеклисты при инциденте

Пользователь:

Перевёл устройство в авиарежим.
Снял права Accessibility и Display over other apps.
Удалил подозрительное приложение.
На чистом устройстве сменил пароли и уведомил банк.

IT‑специалист/администратор:

Изолировал устройство от сети.
Собрал артефакты: список установленных приложений, логи сетевых подключений (если доступны), снимки экрана оверлея.
Произвёл удаление в безопасном режиме и запустил антивирусное сканирование.
Провёл аудит прав и политик для предотвращения повторного компромета.

Служба поддержки банка:

Блокирует подозрительные транзакции и сессии.
Инициирует процедуру возврата средств и расследование.
Требует от клиента смены всех паролей и подтверждений.

Playbook: быстрый шаблон действий для команды реагирования

Получение сигнала: пользователь сообщает о фальшивом оверлее/необычных переводах.
Изоляция: попросить пользователя включить авиарежим, прекратить доступ в сеть.
Сбор данных: запросить ID устройства, скриншоты, список установленных приложений.
Удаление и восстановление: удалить приложение, просканировать, сменить пароли.
Пост‑инцидентный аудит: анализ вектора проникновения, предупреждение других пользователей.

Тестовые случаи и критерии приёмки (проверка удаления)

Критерии приёмки:

Приложение не отображается в списке установленных приложений.
В Accessibility не обнаружено посторонних приложений с доступом.
Device Admin не содержит подозрительных записей.
Поведение батареи и сети вернулось к норме в пределах 24–48 часов.
Антивирусные сканеры не обнаруживают активных следов.

Тестовые сценарии:

Попытка включить оверлей — не воспроизводится.
Отправка тестовой 2FA — сообщение приходит на телефон, не исчезает и не перехватывается.
Синхронизация банковского приложения проходит без автонажатий и без неожиданных подтверждений.

Когда стандартные меры не работают — контрпримеры и альтернативы

Иногда приложение обладает устойчивыми компонентами или причастны root‑модули. В этом случае:

Выполните полный бэкап данных (без резервирования подозрительных APK) и сброс к заводским настройкам.
Если устройство рутовано или прошивка изменена, рассмотрите замену устройства — сложные бэкдоры могут сохраняться в модифицированной прошивке.
Обратитесь в специализированную лабораторию по инцидентам, если произошёл крупный финансовый ущерб.

Безопасность и приватность — советы и ограничения

Не передавайте устройства третьим лицам до очистки: это может усложнить расследование.
При смене паролей используйте менеджер паролей и уникальные пароли для каждой службы.
Переведите критичные сервисы на более надёжные 2FA‑каналы: аппаратные ключи (FIDO2) или приложения‑аутентификаторы.
Если устройство содержало персональные данные, оцените необходимость уведомления пострадавших (зависит от объёма и локальных законов о защите данных).

Глоссарий в одну строку

SMiShing — фишинг через SMS; попытки обманом заставить пользователя перейти по ссылке.
C2 — командно‑контрольный сервер злоумышленников, управляющий зловредом.
Accessibility Service — служба специальных возможностей Android, дающая приложениям расширённый доступ к интерфейсу.
Device Admin — уровень привилегий администратора устройства, позволяющий контролировать настройки.

Диаграмма принятия решения (быстрый флоу)

flowchart TD
  A[Запрос оверлея или подозрительное SMS] --> B{Включена Accessibility?}
  B -- Да --> C[Перевести в авиарежим]
  B -- Нет --> D[Проверить Play Protect и список приложений]
  C --> E[Отключить права Accessibility и Device Admin]
  E --> F[Удалить приложение в безопасном режиме]
  F --> G[Сменить пароли на чистом устройстве]
  D --> H[Если приложение незнакомо — удалить и сканировать]
  H --> G

Что ещё учесть — матрица рисков и смягчения

Риск: Перехват 2FA — Смягчение: Использование аппаратных ключей или TOTP‑аутентификаторов.
Риск: Потеря средств — Смягчение: Немедленное уведомление банка и блокировка карт.
Риск: Скрытые бэкдоры — Смягчение: Сброс к заводским настройкам и проверка прошивки.

Социальный превью и короткое объявление

OG Title: Как удалить троян Herodotus с Android OG Description: Пошаговое руководство по обнаружению, удалению и профилактике банковского трояна Herodotus.

Короткое объявление (120 слов): Herodotus — новый банковский троян для Android, который требует включения Службы специальных возможностей и использует фальшивые оверлеи для перехвата 2FA и управления банковскими приложениями. Если вы получили подозрительное SMS или увидели странный полноэкранный «процесс загрузки», немедленно включите авиарежим, проверьте права приложений в Accessibility и удалите незнакомые программы. На всякий случай смените пароли с чистого устройства и уведомите банк при подозрительных транзакциях. Следуйте нашим чеклистам и playbook, чтобы минимизировать риск и восстановить контроль над устройством.

Итоговое резюме

Herodotus действует через ложные установки и требует прав Accessibility.
Самое быстрое действие при подозрении — изоляция устройства и удаление приложения.
Используйте Play Protect и надёжные антивирусы, но полная безопасность достигается сочетанием поведения пользователя и технических мер.

Важно: если есть подозрения на финансовые потери — сразу свяжитесь с банком и рассмотрите обращение в компетентные органы для расследования.