Эксперты предупреждают: инструмент Microsoft Phone Link используется для кражи SMS и кодов подтверждения

Новая версия вредоносной программы типа «троян удаленного доступа» (RAT), известной как CloudZ, теперь включает плагин, способный похищать данные с подключенных устройств Android. Об этом сообщили эксперты в области кибербезопасности.

Новые возможности CloudZ: плагин Pheno

Исследователи безопасности из Cisco Talos обнаружили этот модернизированный вариант RAT CloudZ в ходе расследования серии кибератак, которые продолжаются с января 2026 года. Операционные системы Windows 10 и 11 оснащены функцией Microsoft Phone Link, позволяющей пользователям связывать свои мобильные устройства на базе Android и iOS с компьютерами. Это дает возможность совершать звонки, отправлять сообщения и выполнять другие действия прямо с компьютера, не доставая смартфон.

Кража двухфакторной аутентификации и одноразовых паролей

Microsoft Phone Link – удобная функция, позволяющая отвечать на сообщения в групповых чатах WhatsApp* и Telegram. Однако она становится еще более важной при использовании двухфакторной аутентификации (2FA), где смартфон часто требуется для подтверждения входа. Именно этим уязвимым местом воспользовались создатели CloudZ, представив новый плагин под названием Pheno.

Путем перехвата соединения между телефоном и компьютером злоумышленники могут легко получить не только учетные данные, но и одноразовые пароли (OTP), отправляемые на мобильное устройство, при этом не компрометируя сам телефон. Pheno работает, отслеживая активные сессии Phone Link и получая доступ к локальной базе данных SQLite, которая содержит SMS-сообщения и одноразовые пароли.

По словам специалистов Cisco Talos, «при подтвержденной активности Phone Link на машине жертвы, злоумышленник, использующий RAT CloudZ, потенциально может перехватить файл базы данных SQLite приложения Phone Link на машине жертвы, что может скомпрометировать SMS-сообщения с одноразовыми паролями и другие уведомления приложений-аутентификаторов».

Помимо этих новых возможностей, CloudZ сохраняет все стандартные функции RAT: изменение файлов, выполнение команд оболочки, запись экрана и многое другое. Он пытается скрыть свою активность, попеременно используя три жестко закодированные строки пользовательского агента, благодаря чему HTTP-трафик выглядит как обычные запросы браузера.

Рекомендации по безопасности

Cisco Talos не удалось точно установить, как жертвы были заражены CloudZ, но эксперты настоятельно рекомендуют пользователям избегать SMS-сервисов для получения одноразовых паролей. Вместо этого они советуют использовать специализированные приложения-аутентификаторы, которые не требуют перехватываемых push-уведомлений.

* — деятельность компании запрещена на территории РФ

Твитнуть