Через рекламу Meta распространяли Android-троян StreamRat под видом стримингового приложения
Кампания была нацелена на испаноязычных пользователей и, по оценке ThreatFabric, охватила почти 571 тыс. аккаунтов Meta в ЕС. После выдачи опасных разрешений троян позволяет злоумышленникам удалённо управлять устройством и похищать учётные данные.
Исследователи ThreatFabric обнаружили Android-банкер StreamRat, который распространяли через рекламу фальшивого сервиса просмотра телевидения в экосистеме Meta. Рекламная кампания была ориентирована на Испанию: по оценке компании, её хотя бы раз увидели 570 950 аккаунтов Meta в Евросоюзе. Число заражённых устройств и подтверждённых пострадавших не раскрывается.
Переход по рекламе вёл на специально подготовленный сайт. Он проверял операционную систему посетителя и показывал кнопку загрузки только пользователям Android. Сайт предлагал установить файл app.apk, а затем загрузчик запрашивал ряд разрешений и устанавливал основной модуль StreamRat из файла вида update_{timestamp}.apk.
В частности, загрузчик просил назначить его приложением главного экрана, разрешить VPN-подключение и установку приложений из неизвестных источников. VPN временно лишал другие приложения доступа к интернету, тогда как сам загрузчик оставался исключением. По оценке ThreatFabric, это могло мешать онлайн-проверкам репутации и анализу кода. После запуска основного модуля VPN отключался, и троян соединялся со своим управляющим сервером.
Ключевое разрешение для StreamRat — доступ к специальным возможностям Android. Получив его, вредоносная программа может перехватывать нажатия клавиш, показывать поддельные окна для кражи учётных данных, просматривать содержимое экрана и удалённо управлять устройством. Для записи экрана троян способен использовать API MediaProjection; согласие на захват экрана он может подтвердить через уже выданный доступ к специальным возможностям. Также он умеет делать снимки экрана через метод takeScreenshot() без индикатора, обычно сопровождающего MediaProjection.
Кампания стартовала 11 июня 2026 года и завершилась 3 июля, а обнаружили её в конце июля. ThreatFabric не связала операцию с конкретной группировкой. Исследователи также нашли признаки продвижения StreamRat через TikTok, однако публичным подтверждением в отчёте стал лишь код посадочной страницы, способный определить TikTok как источник перехода: данных о рекламе или её охвате на этой платформе не приводится.
Пользователям Android следует прерывать установку, если приложение для просмотра видео требует системные разрешения, не связанные с его работой, особенно доступ к специальным возможностям, установку из неизвестных источников или назначение приложением главного экрана.