Рассвет и стремительный закат банковского трояна Gorilla

В марте 2025 года команда Solar 4RAYS обнаружила фишинговую кампанию, направленную на распространение вредоносного ПО через Telegram. На первый взгляд она не отличалась от привычных атак, однако детальный анализ раскрыл иную картину. За внешней простотой скрывался новый банковский троян Gorilla — многофункциональный и коммерчески ориентированный инструмент, написанный на Kotlin. Новая опасная угроза?

Поначалу именно так все и выглядело, но в процессе развития криминального предприятия что-то пошло не так, и по состоянию на начало августа 2025 года управляющие серверы трояна уже были неактивны, как неактивен и telegram-канал предполагаемого разработчика вредоносной программы.

В этой статье разберем троян, связанную с ним сетевую инфраструктуру, а также опишем загадочные обстоятельства внезапного прекращения деятельности инфраструктуры, обеспечивавшей работоспособность троянской программы.

Ключевые тезисы:

• Троян имеет широкую функциональность, включающую в себя управление устройствами, определение банковских приложений
• Распространялся на коммерческой основе
• Разработчики трояна русскоговорящие
• Все экземпляры Gorilla Panel были запущены в DEBUG-режиме, что говорит о низкой квалификации злоумышленников

Технический анализ

При первом запуске вредонос осуществляет попытку установить себя в качестве приложения для работы с СМС по умолчанию.

После этого устанавливает два сервиса: SmsService и HeartbeatService.

SmsService отвечает за обработку отправки/получения СМС устройством. В свою очередь, HeartbeatService отвечает за «отбивки», работу с C2.

Подключение к C2-серверу осуществляется по протоколу WebSocket с помощью WebSocketManager, адрес сервера: 62[.]60.226.97:8000. К серверу доступно также подключение и по HTTP, так как на нем находится веб-панель для централизованной работы с зараженными устройствами (ее название — Gorilla Panel).

Панель представляет собой веб-приложение, созданное с помощью веб-фреймворка Django, которое работало в DEBUG-режиме. В таком режиме работы Django возвращает более детальную информацию об ошибках. Например, благодаря этому методу можно получить эндпоинты, доступные на сервере, как это представлено на рисунке ниже.

После осуществления хендшейка вредоносное приложение отправляет на управляющий сервер сообщение DEVICE_REGISTRATION. Сообщение DEVICE_REGISTRATION, содержащее следующую информацию об устройстве:

• ID устройства;
• модель устройства;
• версия ОС Android;
• состояние экрана (заблокирован/разблокирован);
• список телефонных номеров;
• информация об установленных сим-картах;
• список установленных на устройство приложений;
• BUILD_NAME — имя билда (может отличаться);
• BUILD_ID (в данной версии ВПО оно представляет собой строку “SVOI”) — идентификатор сборки ВПО.

Затем запускается главный цикл обработки сообщений, среди которых могут быть:

• device_registered — сообщение об успешной регистрации устройства на сервере злоумышленника;
• device_command — сообщение, содержащее команду для устройства:
  • device_info — отправить информацию об устройстве;
  • update_settings — обновить настройки;
  • send_sms — отправить СМС-сообщение (содержит получателя и текст СМС-сообщения);
• sms_received_ack — «отбивка» об успешной отправке СМС;
• connection_established — сообщение об успешной установке соединения.

Кроме того, вредонос способен читать и отправлять информацию о полученных СМС.

В JS-скрипте главной страницы веб-панели много комментариев на русском языке, выполненных в одном и том же стиле:

• многострочный комментарий в начале функции, с описанием, что она делает;
• однострочные поясняющие комментарии около некоторых строчек кода.

Такой стиль сохраняется по всему JS-скрипту, что характерно для кода, написанного с помощью больших языковых моделей (LLM). Вероятно, злоумышленник использовал генеративный искусственный интеллект для написания кода веб-панели.

В процессе анализа мы обнаружили следующие эндпоинты:

Видно, что Gorilla позволял получать/отправлять СМС-сообщения, а также получать информацию о самом устройстве, отправлять команды.

Выход на рынок

Первые сообщения с рекламой трояна появились в киберпреступных сообществах в конце февраля 2025. Из особенностей авторы выделяют СМС-менеджмент, управление устройствами, определение банковских приложений, интеграцию с Telegram.

Также у трояна был собственный telegram-канал, в котором публиковались новости.

Помимо него был и отдельный демонстрационный канал, на котором приводилась информация о функциональности с примерами работы приложения.

Там же публиковались скриншоты общего вида Gorilla Panel.

Периодически можно было наблюдать появление новых серверов. На одном из таких серверов мы обнаружили Amber Panel — вероятно, это один из «тестовых» билдов или предшественников Gorilla Panel.

Начало проблем…

Судя по внешним признакам (уникальный троян, развитая поддерживающая инфраструктура), создатели Gorilla Panel намеревались всерьез потеснить другие банковские трояны на «рынке», однако что-то пошло не так. Начиная с апреля в связанных с Gorilla Panel telegram-чатах появилась информация об аресте Gorilla — разработчика вредоноса. На тот момент насчитывалось около 40 активных панелей.

Спустя некоторое время информация косвенно подтвердилась, и в telegram-канале Gorilla Panel опубликовали длинный пост с комментариями на эту тему.

Буквально на следующий день разработчик пропал из публичного поля и предположительно продолжил вещать через администратора telegram-канала. В своем посте он утверждал, что отправился в Среднюю Азию.

4 июня вышел последний на сегодняшний день пост с обновлениями Gorilla Panel. В нем опубликовали обновленные цены на троян, а также утверждалось, что была автоматизирована установка новых панелей (все еще в режиме DEBUG). К этому моменту из всех известных нам панелей оставалось лишь 20 активных командных серверов.

В конце июня в канале опубликовали последний пост с эмодзи «молитва». На момент публикации статьи все известные нам C2 остаются неактивными. О дальнейшей судьбе Gorilla Panel ничего не известно.

Заключение

Уже на ранних этапах своего существования троян Gorilla довольно громко заявил о себе, он также был замечен и на Западе, а его разбор публиковался в отчете Catalyst. Казалось, создатели Gorilla Panel планировали занять заметное место на «рынке» malware-as-a-service. Однако развитие событий показало обратное. К середине 2025 года активность инфраструктуры Gorilla резко снизилась, большая часть C2-серверов ушла в офлайн, а сам разработчик исчез из публичного поля.

К счастью, ожидания злоумышленников, связанные с этим вредоносом, не оправдались. Gorilla, несмотря на амбициозный старт, повторил судьбу большинства подобных проектов — быстро угас, оставив лишь следы своей кратковременной активности.

IOC

C2 (на данный момент неактивны)

38.180.15[.]10
38.180.15[.]140
38.180.85[.]115
38.180.162[.]139
38.244.144[.]219
38.244.144[.]220
38.244.144[.]221
38.244.144[.]224
38.244.144[.]230
38.244.144[.]232
62.60.226[.]104
62.60.226[.]124
62.60.226[.]137
62.60.226[.]143
62.60.226[.]160
62.60.226[.]161
62.60.226[.]162
62.60.226[.]163
62.60.226[.]164
62.60.226[.]175
62.60.226[.]182
62.60.226[.]183
62.60.226[.]185
62.60.226[.]209
62.60.226[.]210
62.60.226[.]254
62.60.226[.]31
147.45.70[.]114
179.43.154[.]42
185.62.56[.]149
185.62.56[.]161
185.62.57[.]182
185.62.57[.]207
185.62.57[.]47
185.62.57[.]55
185.62.58[.]117
185.62.58[.]146
185.62.58[.]147

Files

MD5

08652d8ab8c509545844c40a45959f03
661fd219a76816fc83a3bf90ddff5c4e
3e85963db0dae7a2d2059f37f9609fe6
b2cf4f0876fad8a3420371982165bf6e
8cc4e110e3e22e64147baff3fff6d0c1
d2ade602507e82c29b7f838ccc8f4db0
d911f3bd527980ff604f602e6fa77ea5
12b817c023daa8398cb9515b994b1ca1
ffa45d34c87109b4412b6f09259b8db3
8aaece6c5614f2a7cdba8ad6ae22c67d
8c7816a3dab93377c9962ce7149aaaea
943488a1dd872f72d396d49b5d4f44c8
a6cc0f44919391ac0a1ee529a080c142
efb87cadd93390886d0025c4eaabeda8
37f61dad9e1d16f86505e60ece90c12f
0e0b350b1d202e1d9b8c3bc1c6eb0bd2
027e93646103ce0f7b7efb72d56bf6d1
2f92c2c8969a0ee82ed165ec7086daf3
85eb5ecaf0df155f61970ece01ef7cf1
82a3a0fdcea8d4dfe7ff6348fa66c621
026dde4c08e5eb5cd7ec718ffb537702
1ad67e0edbd476ff1cbbec0629996266
d52a60d2ada02c300697101ae9bfa9e1
fdafc42f638c3533c9a05053f42a7da0
1caab7269ec6eb67ba749ad52a9ac82f
6ae84842c7ab61455d46a8a600c7fcf0
c2f1e137b1b37b4c45927434d486cfdf
997caa35a7b769fec301acaf795ce62f
debd3fa6f419d5846252eaedda7d38c0
50e6fa606f998e01b18e1f2d29bcb613
76989bfc7f21b4212d7cd44da55ad8ef
c1e1b362d7a64b01dc502b4e9b731d03
4516196b979b61b4dda6d530aea443b7
c2a014431cb40ed282ceb921bcd7ae12
e2f03b25bfe9e6ff7657e40d5dfd591f
73fd750c86ea610ee4025eeb8b5c7736
75f4a463b588025e3ab5ba0a872785e8
a04da22acbd5054de7bde37d31fb286d
7fefd59d17ce54f1a163001111d2f178
2d06c19f17bceebdad96f51e4fad5adc
058953c6f32aff78bc8cd6a988b60057
d37f8e0feb9e8e36e3d57b1f132de144
d3b4766aa8c37af8538a74a0fc5cea2d
dd63c6b196232b5f0ddaa936c76eb86e
9ead6dd59a1fb22eea0ffcfe8cb9d088
3a3f3e98c590e5e496802172ac06562b
5295926bb58a44f25328e78cb58fcf53
2bc15f1a495b80f87ca7cdb2636dc6bf
7c09b71736e2736034aebf1320eaf29a
e1742b74deca5e9eabe56b26ca1060dc
e51af0e30fa554ead5bd62bb5df16c35
26a6e0afc795bcb134afefd507b01def
ad69e879c1d5306c39cc6ae77036b149
87c82595b75ac38bf1ee70cbf6e9b378
53a6402c6458727d4bc2f828dbd7d0f6
2538d2af0bb39f608a12c3b65ff1e58f
724dc0b4fc21e8b283f5b24009ccfc1d
2366418ee4a190f9fdda7c495f185332
fe88247d6f6b8da038958589b76828e6
603f6dbe3b55a158ad7e466fef6d3313
1762264fbb66c3288d6e1af1cf8ff593
f2c2bb8520ef1b081665c2909a51900c
838674b5c310bee8a3c2d44b4acd7793
5e7e8d37f7e83b6c0a6ba65c530526b2
200a75a5146c9c148c6066e45efd4389
d0c09422592f507a57ba1858fc086c16
ea7e1a4fae92c5e969d43735b3b49cff
6f45c1481d6a2a24d37e7b5e0101011c

SHA-1

d9a0806a13c49d99147dc52338b6adede21887b1
509639eebd0f7772b8aec70adf47c14a8dc53e00
700a8be3d273b8ad3243041da3e2b4e57dddf72d
2f6325078ca62402cfa441750149540e69303f24
3346f76a64577ba36efbd28033cf17517ea93933
9e18ed7c5c63f3daf285f5222e3637077df6e171
002b6eca1859efe1caaf383991691e3378c9d85b
cef056fb8e967e7b1d2fabd18b687c2036d32616
d7eaed34921656c3707dfaf213567b45edbaf456
09b94376a49267b53a37b7c429ff2bce47ed4a5d
d8da896a66e260f8a44cfcc3fcde69fe274fd69f
6317618510e810305e55efaaaf4153c5fbb9ed7f
a58f79456a0da320f6c0fb2662164bdc10ef730d
de987a37d2ee9dd809310f30d4c4b324ba25e4c6
1d715640d094d492c0fe181d21f81c4a5c1f7fe8
bf60b7789422c9680f6557a3df2fb20c764d83be
e50528c274dcb3d51a60975c16c40d0df33a3fe4
57ccd8ec8ea114317fa69faa36d813ad99b4bc45
ebad08b3fa95073ff39505c7577689689ee741b3
854b98cad5b56f9b13033f5b82fd9aec0e395e6c
6db841bd5a6e1ddd88d32692fc54cd16a4dd9b2e
89cce07c50cd6c90e08dc6c8099dd8938f8b2586
86baf762219954c027b2705219f270aabb527720
a1018d246fe1ce4c7350cca987ed1e29d36be0ab
4e9360d1d08468bc93aa912f9bdd62f7b19fbd47
69ed25d4cf3f36565fa27c08dea99b650cbc3c30
f3679b5d4afd1500169fa84c6016c32b5bddc106
7561ea8bf79125284c566b91c864c0ebae7b971d
2568869ea19339fee87512fb69a299e284cd9b6b
eb1ca3c40fc0bd91331095468e39988eb0102332
4834d6755e175e288d54fe08e94893e219889591
509ba65a6c38311f01dde9fd2f4313011da00970
80f60cfaeda967f3f9f98434d596780e3aade259
8117ca26c51de017205f761a6c2500d6ce4f3efd
b14f086ec75a0199055e19ade2880d20b98e3c9a
e398267a9dacd719e7184177237c49416a758223
2f7e6060c756b1aeebe3def2de51a7ab647ebe0f
a584bfab55b9b7917fc1a51cfb6d7f1df9ffd39b
8b363b8b5ce61f7eb47f82a47273dffdb250ca1b
c12428f89b8c0b9cf86db29c4733b52f737aaae9
75b0d1c0af301ca79d230c29570680b3d8ed82da
2b751e1ade3b1104500c7e1a2284e7584327106e
b59fea7c6899ff240c459d1f5555ecfb445fb47b
0475026f4f0cb648686eb26369f9dcd1cd0cc8e7
3781187e2761184c83407c678b87d17830b5aad2
4292d173383bcdafd6832b4c98e5ad6bbbd0703b
c948f377a86dcfdad947bcb7ae65e6fbba30a372
81e294352be67253f785f1cc16af0ff8369d35b0
b0802e8b75df2d838ac7eba146dc9a42b8805f63
a8515a6e20f288d93e392305c67608cd6aa35e20
4e4afe1345aaea10d3aa522e01d1b346cf8b1291
f8f0543efb7225186eb401f103bf9621dc2942e2
5ca66a4cc3a358c96d16bb4ddc5653987e93ed78
d76a2cbdce3371c03cbd6a045dc874cc4a89907b
b1a8c8b1f5dc2971e44f110a2361554fd19830ed
ee5df21aecec348cda3b72457884330557db90d8
a1c51ee47ab5e8dc8b3f90e588e5f104006c3804
3d5983ee9702e9c417ea6e41068e62017c497ad3
508b3213025810d5ebd87063a0c91335774df187
2560790338d86a5ca09492cef2440c2209945ebd
6bfc0cc5bc7c2b5c9f65cd4457791c727e6c7bed
a45cbc3ec57bf86face32ab6682fa3ccbad251b4
dc2fa2c6f25ae2f398402d7d4a7f2338ec36e9c8
9e495ad904915e55f7ecee6e4fc63d9478b76a42
291f43c3a7e3d67888a1ae864386fe7cc8faf4ae
b9a0554a70608c745e36c0baa7a581ba5a390014
785705764e5c95eb0e1ccf0d5f0a0ef7da41e085
82c7183cb7c5a97d864d9ef91af93549d86c0b19

SHA256
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