Ένας trojan απομακρυσμένης πρόσβασης Android (RAT) γνωστός ως VajraSpy βρέθηκε σε 12 κακόβουλες εφαρμογές, έξι από τις οποίες ήταν διαθέσιμες στο Google Play από την 1η Απριλίου 2021 έως τις 10 Σεπτεμβρίου 2023.
Οι κακόβουλες εφαρμογές, οι οποίες έχουν πλέον καταργηθεί από το Google Play, αλλά παραμένουν διαθέσιμες σε καταστή
ματ
α εφαρμογών τρίτων, είναι μεταμφιεσμένες ως εφαρμογές ανταλλαγής μηνυμάτων ή ειδήσεων.
Όσοι εγκατέστησαν τις εφαρμογές μολύνθηκαν με το VajraSpy, επιτρέποντας στο κακόβουλο λογισμικό να κλέβει προσωπικά δεδομένα, συμπεριλαμβανομένων των επαφών και των μηνυμάτων, και ανάλογα με τις χορηγούμενες άδειες, ακόμη και να καταγράφει τις τηλεφωνικές τους κλήσεις.
Οι ερευνητές της ESET που αποκάλυψαν την καμπάνια αναφέρουν ότι οι χειριστές της είναι η ομάδα Patchwork APT, η οποία δραστηριοποιείται τουλάχιστον από τα τέλη του 2015, στοχεύοντας κυρίως χρήστες στο Πακιστάν.
Το
2022, ο ηθοποιός των απειλών αποκάλυψε ακούσια λεπτομέρειες της δικής του καμπάνιας όταν μόλυναν κατά λάθος την υποδομή τους με το «Ragnatela» RAT, ένα εργαλείο που χρησιμοποιούσαν εκείνη την εποχή. Αυτό το λάθος παρείχε στο Malwarebytes ένα παράθυρο στις λειτουργίες του Patchwork.
Ο σύνδεσμος μεταξύ του VajraSpy και του συμπλέγματος δραστηριοτήτων αυτό
Η ESET προσδιορίζεται ως Patchwork
ιδρύθηκε για πρώτη φορά από
QiAnXin
το 2022 (που αποδίδεται στο APT-Q-43), ακολουθούμενο από
Μετα
τον Μάρτιο του 2023 και
Qihoo 360
τον Νοέμβριο του 2023 (που αποδίδεται στο APT-C-52).
Κατασκοπεία Android
Ο ερευνητής της ESET, Lukas Stefanko, βρήκε 12 κακόβουλες εφαρμογές Android που περιείχαν τον ίδιο κώδικα VajraSpy RAT, έξι από τις οποίες ανέβηκαν στο Google Play, όπου κατέβηκαν περίπου 1.400 φορές.
Οι εφαρμογές που ήταν διαθέσιμες στο Google Play είναι:
- Rafaqat رفاقت (ειδήσεις)
- Privee Talk (μηνύματα)
- MeetMe (μηνύματα)
- Ας κουβεντιάζουμε (μηνύματα)
- Γρήγορη συνομιλία (μηνύματα)
- Chit Chat (μηνύματα)
Οι εφαρμογές VajraSpy που διατίθενται εκτός του Google Play είναι όλες ψευδείς εφαρμογές ανταλλαγής μηνυμάτων:
- Γεια σου Chat
- YohooTalk
- TikTalk
- Φωλιά
- GlowChat
- Wave Chat
Χρονολόγιο της καμπάνιας και των εφαρμογών που χρησιμοποιήθηκαν
(ESET)
Τα καταστήματα εφαρμογών τρίτων δεν αναφέρουν τον αριθμό των λήψεων, επομένως ο αριθμός των ατόμων που τα έχουν εγκαταστήσει μέσω αυτών των πλατφορμών είναι άγνωστος.
Η ανάλυση τηλεμετρίας της ESET δείχνει ότι τα περισσότερα θύματα βρίσκονται στο Πακιστάν και την Ινδία και πιθανότατα εξαπατήθηκαν για να εγκαταστήσουν τις εφαρμογές ψεύτικων μηνυμάτων μέσω μιας ερωτικής απάτης.
Δύο από τις 12 ψεύτικες εφαρμογές
(ESET)
Το VajraSpy είναι ένα λογισμικό υποκλοπής spyware και RAT που υποστηρίζει διάφορες λειτουργίες κατασκοπείας που ως επί το πλείστον περιστρέφονται γύρω από την κλοπή δεδομένων. Οι δυνατότητές του συνοψίζονται ως εξής:
-
Συλλέξτε και μεταδώστε προσωπικά δεδομένα από τη μολυσμένη
συσκευή
, συμπεριλαμβανομένων επαφών, αρχείων καταγραφής κλήσεων και μηνυμάτων SMS. -
Υποκλέψτε και εξάγετε μηνύματα από δημοφιλείς εφαρμογές κρυπτογραφημένης επικοινωνίας όπως το WhatsApp και το
Signal
. - Ηχογραφήστε τηλεφωνικές κλήσεις για να ενεργοποιήσετε την υποκλοπή προσωπικών συνομιλιών.
- Ενεργοποιήστε την κάμερα της συσκευής για λήψη φωτογραφιών, μετατρέποντάς την σε εργαλείο επιτήρησης.
- Υποκλοπή ειδοποιήσεων από διάφορες εφαρμογές σε πραγματικό χρόνο.
- Αναζήτηση και εξαγωγή εγγράφων, εικόνων, ήχου και άλλων τύπων αρχείων.
Δεδομένα καταγραφής VajraSpy από το WhatsApp
(ESET)
Η δύναμη του VajraSpy έγκειται στον αρθρωτό χαρακτήρα και την προσαρμοστικότητά του, ενώ η έκταση των κατασκοπευτικών του δυνατοτήτων καθορίζεται από το επίπεδο των αδειών που αποκτά σε μια μολυσμένη συσκευή.
Η ESET καταλήγει συμβουλεύοντας ότι οι χρήστες θα πρέπει να απέχουν από τη λήψη σκοτεινών εφαρμογών συνομιλίας που προτείνονται από άτομα που δεν γνωρίζουν, καθώς αυτή είναι μια κοινή και μακροχρόνια τακτική που χρησιμοποιούν οι εγκληματίες του κυβερνοχώρου για να διεισδύσουν σε συσκευές.
Ενώ το Google Play εισάγει νέες πολιτικές που δυσκολεύουν την απόκρυψη του κακόβουλου λογισμικού στις εφαρμογές, οι παράγοντες απειλών συνεχίζουν να εισβάλλουν κρυφά τις κακόβουλες εφαρμογές τους στην πλατφόρμα.
Οι προηγούμενες επιθέσεις είχαν πολύ καλύτερη απόδοση από αυτήν την καμπάνια spyware VajraSpy, όπως μια καμπάνια adware του Οκτωβρίου που συγκέντρωσε 2 εκατομμύρια εγκαταστάσεις.
Πιο πρόσφατα, ανακαλύφθηκε ότι το κακόβουλο λογισμικό κλοπής πληροφοριών
SpyLoan
κατέβηκε 12 εκατομμύρια φορές από το Google Play το 2023.
VIA:
bleepingcomputer.com
