#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Скрытый SDK Netway в AppLinked тайно превращает устройства Android в узлы резидентных прокси, используя постоянные службы и ретрансляторы 3proxy для маршрутизации трафика и доступа к частным сетям. Выявленная инфраструктура также использовалась для доставки вредоносного ПО для Android, включая варианты Mirai и Maskify, тогда как Proxice обеспечивал модульную проксирование и, вероятно, подстановку украденных учетных данных для учетных записей Microsoft через резидентные IP-адреса.
-----

Скрытый SDK Netway в AppLinked регистрировал устройства Android в качестве узлов резидентных прокси без согласия пользователей.

Netway запускал 3proxy в режиме reverse и подключал устройства к инфраструктуре ретрансляции по адресу 79.127.248.199:10975.

Netway использовал регистрацию службы VPN в Android для повышения приоритета процесса и закрепления без создания VPN-туннеля.

Для закрепления использовались приемники событий загрузки/подключения, ProcessPhoenix и запланированные задачи JobScheduler.

Канал HTML-вакансий Netway позволял выполнять произвольные запросы к URL с заголовками и cookie, предоставленными злоумышленником.

Неаутентифицированный доступ через прокси и отсутствие фильтрации частных адресов привели к раскрытию локальных сервисов, включая интерфейсы администрирования маршрутизаторов.

Исследователи выявили более 60 000 IP-адресов выходных узлов в жилых сетях, распределённых примерно по 50 адресам ретрансляторов.

Инфраструктура прокси-серверов зафиксировала 1 352 атаки на зарегистрированные устройства за три недели.

Среди обнаруженных полезных нагрузок были CECbot, вариант Mirai и Maskify, обеспечивающие проксирование и проведение DDoS-атак.

Загрузчик `com.android.dexsys` использовал шифрованную инфраструктуру C2, разрешённую через ENS, и `DexClassLoader` для развертывания модульных компонентов прокси Proxice.

Proxice использовал TCP для управления и QUIC для мультиплексированного прокси-трафика, при этом фильтрация адресов loopback и частных сетей отсутствовала.

Трафик Proxice в основном направлялся на `login.live.com:443`, что соответствует автоматизированной проверке учетных данных учетных записей Microsoft или подстановке украденных учетных данных.