Предупредување: Android малвер „Brokewell“ се шири преку лажни реклами за TradingView

Кибер-криминалци злоупотребуваат реклами на платформите на Meta (Facebook/Instagram) за да промовираат „бесплатна TradingView Premium“ апликација за Android, која всушност инсталира напреден малвер од фамилијата Brokewell. Кампањата е активна најмалку од 22 јули 2025 и користи локализирани реклами за да таргетира корисници поврзани со крипто-активи.

Како функционира нападот

• Клик на рекламата од Android уред води кон лажна страница што ја имитира официјалната TradingView и нуди преземање на „tw-update.apk“ од tradiwiw[.]online, преку домени како new-tw-view[.]online.
• По инсталација, апликацијата бара Accessibility дозволи, прикажува лажно „update“ мени, тајно си доделува дополнителни привилегии и се обидува да го добие PIN-кодот за заклучување на уредот.
• Истражувањата потврдуваат дека се работи за еволуирана верзија на Brokewell со широк спектар на способности: крадење чувствителни податоци (вкл. крипто паричници и IBAN), преземање 2FA кодови од Google Authenticator, екрано- и тастатурно-снимање, крадење колачиња, геолокација, далечинска контрола (Tor/WebSockets), пресретнување SMS (вкл. банкарски и 2FA пораки), дури и само-уништување.

Кого таргетира?

Примарно се таргетираат корисници заинтересирани за криптовалути и трејдинг алатки, со најмалку 75 различни локализирани реклами во ЕУ само до 22 август 2025. Кампањата првично таргетираше Windows корисници со други бренд-мамки, а сега се проширува и на Android.

Препораки за корисници

1. Не sideload-ајте APK-датотеки. Инсталирајте апликации само од Google Play.
2. Внимавајте на реклами што ветуваат „бесплатен Premium/PRO“ пристап за скапи сервиси.
3. Проверувајте URL адреси и не внесувајте податоци во страници со сомнителни домени.
4. Ако апликација бара Accessibility или PIN/lockscreen – прекинете ја инсталацијата.
5. Користете мобилна заштита (Mobile Security) и редовно ажурирајте ги уредите.

Препораки за ИТ/безбедносни тимови

• Блокирајте ги домените/URL-ата од IOCs листата на мрежно ниво.
• Конфигурирајте Mobile Device Management (MDM) политики за забрана на „Unknown Sources“ и следење на Accessibility дозволи.
• Следете ги излезните конекции кон Tor/WebSockets од мобилни уреди и алармирајте на аномалии.
• Воведете AWAF/DNS-филтрирање и едукација за фишинг/малвер преку реклами (malvertising).
• Подгответе IR-постапка за Android инциденти: изолација, форензика на APK, ресет на сметки и 2FA, известување на засегнати корисници и банки.

Што ако веќе сте ја инсталирале лажната „TradingView Premium“?

1. Исклучете интернет, направете backup на важни податоци (без APK-и).
2. Деинсталирајте сомнителни апликации; по потреба извршете Factory Reset.
3. Променете лозинки од друг (безбеден) уред и ресетирајте 2FA (не користете компромитиран Google Authenticator).
4. Контактирајте ја вашата банка/крипто берза ако има сомнеж за финансиска злоупотреба.
5. Инсталирајте доверлив Mobile Security и скенирајте го уредот.

Извори:

• BleepingComputer – „Brokewell Android malware delivered through fake TradingView ads“. BleepingComputer
• Bitdefender Labs – „Malvertising Campaign on Meta Expands to Android, Pushing Advanced Crypto-Stealing Malware to Users Worldwide“. Bitdefender