Поддельный Ватсап на iPhone и Android: как распознать и удалить

Meta* предупредила около 200 владельцев iPhone и Android о том, что они установили поддельную версию WhatsApp, начинённую шпионским ПО. За атакой, по данным WhatsApp, стоит итальянская компания-разработчик шпионских программ. Инцидент не связан с уязвимостью самого мессенджера, но наглядно показывает, чем грозит установка приложений в обход официальных магазинов. Кстати, это не первый раз, когда мессенджеры используют для подобных вещей. До сих пор через WhatsApp рассылают сомнительные файлы, из-за которых можно потерять даже деньги.

Взломанный Ватсап умудрились установить даже на iPhone. Изображение: 9to5mac.com

Что произошло с WhatsApp и кого затронула атака

Meta* разослала предупреждения примерно 200 пользователям iPhone и Android, преимущественно из Италии, которые стали жертвами атаки с использованием социальной инженерии — их обманом заставили установить поддельную версию WhatsApp.

Вот такое предупреждение получили пользователи мессенджера. Изображение: techcrunch.com

В заявлении WhatsApp для итальянского агентства ANSA говорится: команда безопасности выявила около 200 пользователей, большинство — в Италии, которые, вероятно, скачали этот неофициальный и вредоносный клиент. Пользователей принудительно разлогинили и предупредили о рисках для их безопасности и приватности.

❗️ПОДПИСЫВАЙСЯ НА НАШ КАНАЛ В ДЗЕНЕ И ЧИТАЙ КРУТЫЕ СТАТЬИ БЕСПЛАТНО

WhatsApp подчеркнул, что речь идёт не об уязвимости в самом мессенджере, а об использовании неофициального клиента. То есть сам WhatsApp не был взломан — пользователей обманом заставили скачать и установить совсем другое приложение, лишь внешне похожее на оригинал.

Spyrtacus — вирус и его разработчик

WhatsApp указал на итальянскую компанию Asigint, подконтрольную SIO SpA, как на организатора атаки. Фирма базируется в городе Канту, в Ломбардии на севере Италии, и среди её клиентов — правоохранительные органы, государственные структуры и спецслужбы.

Вредоносное ПО в поддельном приложении известно как Spyrtacus — название обнаружили в коде самой программы. Исследователи обнаружили 13 образцов Spyrtacus, самый ранний из которых датирован 2019 годом, а самый свежий — концом 2024 года.

⚡ Подпишись на AppleInsider в Telegram, где оперативно публикуются новости из мира Apple

Ранее вредонос маскировался под Android-приложения итальянских мобильных операторов TIM, Vodafone и WINDTRE, а также под прежние версии WhatsApp. Нынешняя кампания, нацеленная на iPhone, — это расширение тактики на экосистему Apple.

Какие данные крадёт поддельный WhatsApp с телефона

По данным исследователей из компании Lookout и других экспертов по безопасности, Spyrtacus способен красть текстовые сообщения, переписку из Facebook* Messenger, Signal и WhatsApp, извлекать контакты, записывать телефонные разговоры и окружающий звук через микрофон устройства, а также делать фото и видео через камеры.

ПОДПИШИСЬ НА НАШ КАНАЛ В MAX, ЧТОБЫ ЧИТАТЬ НОВОСТИ, ЕСЛИ НЕ РАБОТАЕТ ТЕЛЕГА

Проще говоря, если приложение установлено, злоумышленники получают практически полный доступ к содержимому смартфона: переписки, звонки, камера и микрофон — всё это может работать в режиме слежки без ведома владельца.

Шпионское ПО получает доступ к камере, микрофону и перепискам

Пока нет подробностей о личностях пострадавших и о том, какие именно данные могли быть похищены. Представитель WhatsApp Маргарита Франклин сообщила, что компания пока не может раскрыть, были ли среди пострадавших журналисты или представители гражданского общества.

Способы установки приложения в обход App Store

Точный способ, которым жертв заставили установить поддельное приложение, неизвестен. По данным итальянской газеты La Repubblica, приложение распространялось не через официальные каналы — не через Google Play и не через App Store, — а через сторонние источники.

На iPhone установить приложение в обход App Store можно несколькими способами: через корпоративные сертификаты (когда приложение маскируется под внутрикорпоративное ПО) или через сторонние магазины приложений, которые появились в Европе после вступления в силу закона о цифровых рынках (DMA). La Repubblica не уточняет, какой именно метод использовался.

В Италии власти нередко привлекают мобильных операторов, которые отправляют фишинговые ссылки своим абонентам от имени правоохранительных органов. Жертва получает то, что выглядит как обычное уведомление об обновлении от оператора, с предложением установить «обновлённую» версию WhatsApp.

Что делать, чтобы не установить поддельную версию

Главный вывод для владельцев iPhone: угроза в этой истории — не уязвимость в системе, а человеческий фактор. Атака сработала не потому, что в iOS нашли дыру, а потому, что людей обманом заставили самостоятельно установить вредоносное приложение.

Устанавливайте приложения только через App Store, и проблемы не будет

Что делать, чтобы не оказаться в подобной ситуации:

Скачивайте WhatsApp только из App Store. Любые предложения «обновить» мессенджер по ссылке из SMS или с сайта — повод насторожиться.
Не устанавливайте приложения через сторонние источники, даже если ссылка пришла от оператора связи или выглядит официально.
Если вас принудительно разлогинили из WhatsApp — проверьте, какую именно версию приложения вы используете. Удалите подозрительную и установите оригинальную из App Store.
Держите iOS обновлённой — Apple регулярно закрывает уязвимости, которые могут использоваться для установки вредоносного ПО.

Тем, кто получал подозрительные сообщения и переходил по ссылкам для установки приложений в обход App Store, специалисты рекомендуют немедленно удалить приложение и восстановить устройство из чистой резервной копии.

Грозит ли шпионское ПО пользователям в России

Это уже второй раз за 15 месяцев, когда Meta* публично пресекает активность шпионских программ, связанных с Италией. Год назад WhatsApp оповестил около 90 пользователей — журналистов и иммиграционных активистов — о том, что за ними следили с помощью шпионского ПО компании Paragon Solutions. Тот скандал привёл к разрыву Paragon с итальянскими спецслужбами.

Италия занимает необычное положение среди западных стран: там работают сразу несколько разработчиков шпионского ПО, а мягкое регулирование делает такие инструменты доступными для широкого круга правоохранительных структур — вплоть до муниципальной полиции.

Для российских пользователей iPhone прямой угрозы от именно этой кампании нет — она была точечной и нацелена на Италию. Но сам приём — поддельное приложение, распространяемое через фишинг, — универсален и используется по всему миру. Правило простое: если приложение предлагают установить не из App Store, это повод отказаться, даже если внешне всё выглядит убедительно.

*Признана экстремистской и запрещена в России