SMSspy: как приоритизировать однократно замеченные мобильные IOC

По данным Подразделения CRATU, в сводке внешнего источника приведён набор индикаторов, отнесённых к SMSspy: два домена, три URL и два SHA-256. Каждый индикатор опубликован с одним наблюдением из одного источника 19 октября 2026 года. Для SOC это повод начать адресную проверку мобильной телеметрии, DNS, прокси-серверов и MDM, но не основание объявлять инцидент подтверждённым или назначать инфраструктуре роль в цепочке. Набор не показывает, какой адрес использовался для доставки APK, фишинговой страницы, управления ВПО или вспомогательной функции. Не подтверждены способ доставки, география, профиль целей, имя пакета, сертификат подписи и возможности соответствующих APK.Текущее наблюдениеПрактическая модель проста: IOC — стартовая точка для поиска связки «устройство → установка приложения → разрешения → сетевое обращение», а не самостоятельный вердикт. Совпадение домена в DNS- или прокси-журналах требует установить, какой мобильный клиент сделал запрос, какие приложения были установлены на устройстве и что происходило рядом с обращением. Полный URL следует искать в прокси- или HTTP-телеметрии, если доступны путь и параметры. Для URL на github[.]com нужен точный нормализованный URL или как минимум сочетание host + path: совпадение только с github[.]com ожидаемо для легитимного трафика, не является признаком компрометации и не должно быть самостоятельным правилом блокировки или эскалации. Совпадение SHA-256 должно вести к разбору конкретного APK: имени пакета, версии, сертификата и источника установки. Ниже приведена приоритетная выборка 7 из 27 индикаторов текущей сводки. Домены: andromeda-d389d[.]firebasestorage[.]app, ghostx-panel-default-rtdb[.]firebaseio[.]com. URL: hxxps[://]github[.]com/bro69rare-lang/Newws/raw/refs/heads/main/mParivahan[.]apk, hxxps[://]github[.]com/gith821/Mparivahan-NextGen[.]apk/releases/download/MparivahanNextGen/Mparivahan[.]NextGen[.]1[.]apk, hxxps[://]mparivahan[.]hs[.]vc/14. SHA-256: 01004ec08124a75c496644d11a5a137dc24f5ddfe79e918a3aefd49d24316ca6, 1b40c5c5ede3f9986692526f2e1378fcb5c93fac4e07819c4e2fad2c382a3b06.Исторический контекстMyCERT описывал исторические кампании SMSSpy против пользователей в Малайзии. В кампании 2020 года вредоносные Android-приложения маскировались под мобильный антивирус и приложение для проверки сигнала. Описанный вариант перехватывал входящие SMS, пересылал их на удалённый ресурс, собирал контакты и мог изменять их данные. В кампании 2022 года MyCERT сообщал о предлогах от имени правоохранительных органов или регуляторов, а также о поддельных сайтах легитимных сервисов и рекламе в Facebook для доставки Android-вредоноса. Целью исторически описанной кампании была кража финансовых учётных данных. Эти сведения не подтверждают наличие тех же функций, способа доставки или мотивов в текущем наборе индикаторов.Что проверить SOC1. В MDM, EDR для мобильных устройств или инвентаризации APK проверьте SHA-256. При совпадении отделите наличие файла от запуска: хеш в файловом инвентаре ещё не означает исполнения. Зафиксируйте имя пакета, версию, сертификат подписи, источник установки и статус приложения на момент обращения к индикатору. 2. Отдельно отберите приложения, установленные вне доверенного каталога, и сопоставьте их с запросами к указанным доменам и URL. Домены проверяйте по DNS, SNI или Host с учётом возможной разделяемой инфраструктуры; полные URL — в прокси- или HTTP-телеметрии по пути. Затем проверьте выданные разрешения, включая доступ к SMS, если такая телеметрия доступна. Разрешение не подтверждает перехват сообщений, но сочетание установки, сетевого обращения и разрешений — основание для дополнительной проверки. 3. Учтите доброкачественные совпадения в кэше DNS, истории прокси-сервера и на устройствах с уже удалённым APK. Решение об изоляции лучше основывать на связке артефакта APK или установки с сетевой активностью. Если контекст не собирается, это IOC с единственным наблюдением, а не доказательство компрометации. CRATU ThreatLens Ссылка: https://cratu.itb.spb.ru/