Разбираем Mamont’а: как устроен главный банковский Android‑троян в России

Каждый второй банковский Android‑троян в России — это Mamont. Ежедневно он заражает свыше 1000 устройств, маскируясь под легитимные приложения и распространяясь под видом фото и видео в мессенджерах.

Злоумышленники сместили фокус: вместо сложного ВПО для полного контроля над смартфоном они используют легковесные SMS RAT. Их легче распространять, а архитектура в разы проще в реализации — это позволяет быстро штамповать новые сборки.

Но самое интересное происходит не на устройстве жертвы, а на стороне атакующих. Mamont давно перерос формат одиночных атак и превратился в масштабную Malware as a Service-экосистему — с владельцами, арендаторами, билдерами и отдельными сервисами для упаковки.

Мы проанализировали свежие образцы и на вебинаре покажем сборочный конвейер SMS RAT, маршруты доставки до жертвы и протоколы взаимодействия с C2.

Программа вебинара

• Эволюция Android-угроз: от сложных банкеров и атак через NFCGate до примитивных, но массовых SMS RAT;


• Устройство MaaS‑экосистемы вокруг Mamont: теневая инфраструктура, роли участников, админ‑панели;


• Конвейер доставки: жизненный цикл вредоносного APK — от внедрения конфига в базовый шаблон до финального дроппера через сторонние Crypter‑сервисы;


• Каналы управления и эксфильтрации: как Mamont общается с сервером и зачем использует SMS‑канал как резервный транспорт.

Спикер

• Иван Князев, аналитик компьютерных инцидентов, UserGate