SOVA — это банковский троян для операционной системы Android, который крадёт данные банковских карт, перехватывает SMS с кодами подтверждения и даёт злоумышленникам удалённый доступ к заражённому смартфону. Название в переводе с русского означает «сова», и сам троян впервые привлёк внимание исследователей как один из самых функциональных мобильных зловредов в своём классе.

Пользователь обычно даже не подозревает о заражении: приложение маскируется под легитимное, запрашивает разрешения, которые выглядят обычными, и после установки скрывает свою иконку. Дальше троян работает в фоне, перехватывая вводимые данные и ожидая момента, когда жертва откроет банковское приложение. Разберём, как именно устроена эта угроза, как её распознать и что делать для защиты.

Как работает троян SOVA

Основной механизм SOVA — наложение фальшивых экранов (оверлеев) поверх настоящих банковских приложений. Когда жертва открывает мобильный банк, троян определяет это событие и показывает поддельную форму входа, визуально неотличимую от оригинала. Логин и пароль, введённые в такую форму, уходят напрямую злоумышленникам.

Второй важный модуль — перехват SMS. Получив соответствующие разрешения, троян читает входящие сообщения, извлекает из них одноразовые коды подтверждения и может скрывать сами сообщения от пользователя. Именно поэтому жертвы часто узнают о списаниях постфактум: они не видят ни SMS с кодом, ни уведомления об операции.

Кроме того, в разных версиях SOVA исследователи описывали следующие возможности:

  • 🔑 Кейлоггинг — запись нажатий клавиш через злоупотребление службой специальных возможностей (Accessibility Services);
  • 📱 Удалённое управление — выполнение команд на устройстве, включая свайпы и нажатия от имени пользователя;
  • 🍪 Кража cookies — извлечение сессионных данных браузера для входа в аккаунты без пароля;
  • 🛡️ Самозащита — блокировка попыток удалить приложение и сокрытие иконки из меню;
  • 📸 Съёмка экрана — передача злоумышленникам изображения того, что видит пользователь.
💡

SOVA опасен не сам по себе, а связкой функций: оверлеи воруют логины, перехват SMS обходит двухфакторную защиту, а Accessibility даёт полный контроль над устройством.