Campaña de espionaje StrongPity dirigida a usuarios de Android

Los investigadores de ESET identificaron una campaña activa que hemos atribuido al grupo de APT StrongPity. Activa desde noviembre de 2021, la campaña ha distribuido una aplicación maliciosa a través de un sitio web que se hace pasar por Shagle, un servicio de chat de video aleatorio que proporciona comunicaciones encriptadas entre extraños. A diferencia del sitio genuino de Shagle completamente basado en la web que no ofrece una aplicación móvil oficial para acceder a sus servicios, el sitio imitador solo proporciona una aplicación de Android para descargar y no es posible la transmisión basada en la web.

La aplicación maliciosa es, de hecho, una versión completamente funcional pero troyanizada de la aplicación legítima de Telegram, sin embargo, se presenta como la aplicación Shagle inexistente. Nos referiremos a ella como la aplicación Shagle falsa, la aplicación Telegram con troyanos o la puerta trasera StrongPity en el resto de esta entrada de blog. Los productos de ESET detectan esta amenaza como Android/StrongPity.A.

Esta puerta trasera StrongPity tiene varias funciones de espionaje: sus 11 módulos activados dinámicamente son responsables de grabar llamadas telefónicas, recopilar mensajes SMS, listas de registros de llamadas, listas de contactos y mucho más. Estos módulos se están documentando por primera vez. Si la víctima otorga los servicios de accesibilidad de la aplicación maliciosa StrongPity, uno de sus módulos también tendrá acceso a las notificaciones entrantes y podrá filtrar la comunicación de 17 aplicaciones como Viber, Skype, Gmail, Messenger y Tinder.

Es probable que la campaña tenga un objetivo muy limitado, ya que la telemetría de ESET aún no identifica a ninguna víctima. Durante nuestra investigación, la versión analizada del malware disponible en el sitio web de imitación ya no estaba activa y ya no era posible instalarlo correctamente y activar su funcionalidad de puerta trasera porque StrongPity no obtuvo su propia ID de API para su aplicación Telegram troyana. Pero eso podría cambiar en cualquier momento si el atacante decide actualizar la aplicación maliciosa.

General

Esta campaña de StrongPity se centra en una puerta trasera de Android entregada desde un dominio que contiene la palabra "holandés". Este sitio web se hace pasar por el servicio legítimo llamado Shagle en shagle.com. En la Figura 1 se pueden ver las páginas de inicio de ambos sitios web. La aplicación maliciosa se proporciona directamente desde el sitio web suplantador y nunca estuvo disponible en la tienda Google Play. Es una versión troyanizada de la aplicación legítima de Telegram, presentada como si fuera la aplicación Shagle, aunque actualmente no existe una aplicación oficial de Shagle para Android.

Como puede ver en la Figura 2, el código HTML del sitio falso incluye evidencia de que fue copiado del legítimo shagle.com sitio el 1 de noviembre^st, 2021, utilizando la herramienta automatizada HTTrack. El dominio malicioso se registró el mismo día, por lo que el sitio de copia y la aplicación Shagle falsa pueden haber estado disponibles para su descarga desde esa fecha.

Victimologia

En julio 18^thde 2022, una de nuestras reglas YARA en VirusTotal se activó cuando una aplicación maliciosa y un enlace a un sitio web imitaban shagle.com fueron subidos. Al mismo tiempo, se nos notificó el Twitter sobre esa muestra, aunque fue erróneamente atribuido a Bahamut. Los datos de telemetría de ESET aún no identifican a ninguna víctima, lo que sugiere que es probable que la campaña haya tenido un objetivo limitado.

Atribución

El APK distribuido por el sitio web imitador de Shagle está firmado con el mismo certificado de firma de código (consulte la Figura 3) que una aplicación de gobierno electrónico siria troyana descubierta en 2021 por Trend Micro, que también se atribuyó a StrongPity.

El código malicioso en la aplicación Shagle falsa se vio en la campaña móvil anterior de StrongPity e implementa una puerta trasera simple pero funcional. Hemos visto que este código se usa solo en campañas realizadas por StrongPity. En la Figura 4, puede ver algunas de las clases maliciosas agregadas con muchos de los nombres ofuscados incluso siendo los mismos en el código de ambas campañas.

Comparando el código de puerta trasera de esta campaña con el de la aplicación de gobierno electrónico siria troyanizada (SHA-1: 5A5910C2C9180382FCF7A939E9909044F0E8918B), tiene una funcionalidad extendida pero con el mismo código que se utiliza para proporcionar funciones similares. En la Figura 5 y la Figura 6 puede comparar el código de ambas muestras que se encarga de enviar mensajes entre componentes. Estos mensajes son los responsables de desencadenar el comportamiento malicioso de la puerta trasera. Por lo tanto, creemos firmemente que la aplicación Shagle falsa está vinculada al grupo StrongPity.

El análisis técnico

Acceso inicial

Como se describe en la sección Descripción general de esta publicación de blog, la aplicación falsa de Shagle se alojó en el sitio web imitador de Shagle, desde el cual las víctimas tenían que elegir descargar e instalar la aplicación. No hubo ningún subterfugio que sugiriera que la aplicación estaba disponible en Google Play y no sabemos cómo las víctimas potenciales fueron atraídas o descubiertas del sitio web falso.

conjunto de herramientas

De acuerdo con la descripción en el sitio web de imitación, la aplicación es gratuita y está diseñada para conocer y chatear con gente nueva. Sin embargo, la aplicación descargada es una aplicación de Telegram parcheada maliciosamente, específicamente la versión 7.5.0 (22467) de Telegram, que estuvo disponible para descargar alrededor del 25 de febrero.^th, 2022.

La versión reempaquetada de Telegram usa el mismo nombre de paquete que la aplicación legítima de Telegram. Se supone que los nombres de los paquetes son ID únicos para cada aplicación de Android y deben ser únicos en cualquier dispositivo determinado. Esto significa que si la aplicación oficial de Telegram ya está instalada en el dispositivo de una posible víctima, entonces esta versión de puerta trasera no se puede instalar; consulte la Figura 7. Esto podría significar una de dos cosas: o bien el autor de la amenaza se comunica primero con las posibles víctimas y las presiona para que desinstalen Telegram de sus dispositivos si está instalado, o la campaña se enfoca en países donde el uso de Telegram es poco frecuente para la comunicación.

La aplicación Telegram troyanizada de StrongPity debería haber funcionado igual que la versión oficial para la comunicación, utilizando API estándar que están bien documentadas en el sitio web de Telegram, pero la aplicación ya no funciona, por lo que no podemos verificarla.

Durante nuestra investigación, la versión actual del malware disponible en el sitio web de imitación ya no estaba activa y ya no era posible instalarlo correctamente y activar su funcionalidad de puerta trasera. Cuando intentamos registrarnos con nuestro número de teléfono, la aplicación Telegram reempaquetada no pudo obtener la ID de API del servidor y, por lo tanto, no funcionó correctamente. Como se ve en la Figura 8, la aplicación mostró un API_ID_PUBLISHED_FLOOD error.

Basado en Telegram documentación de errores, parece que StrongPity no ha obtenido su propia API ID. En cambio, ha utilizado la ID de API de muestra incluida en el código fuente abierto de Telegram para fines de prueba inicial. Telegram monitorea el uso de ID de API y limita el ID de API de muestra, por lo que su uso en una aplicación lanzada da como resultado el error que se ve en la Figura 8. Debido al error, ya no es posible registrarse y usar la aplicación o activar su funcionalidad maliciosa. . Esto podría significar que los operadores de StrongPity no pensaron en esto, o tal vez hubo suficiente tiempo para espiar a las víctimas entre la publicación de la aplicación y su desactivación por parte de Telegram por uso excesivo de la ID de la aplicación. Dado que nunca se puso a disposición una versión nueva y funcional de la aplicación a través del sitio web, podría sugerir que StrongPity implementó con éxito el malware en los objetivos deseados.

Como resultado, la aplicación Shagle falsa disponible en el sitio web falso en el momento de nuestra investigación ya no estaba activa. Sin embargo, esto podría cambiar en cualquier momento si los atacantes deciden actualizar la aplicación maliciosa.

Los componentes y los permisos requeridos por el código de puerta trasera de StrongPity se adjuntan a la aplicación de Telegram. AndroidManifest.xml expediente. Como se puede ver en la Figura 9, esto facilita ver qué permisos son necesarios para el malware.

Desde el manifiesto de Android podemos ver que se agregaron clases maliciosas en el org.telegram.messenger paquete para que aparezca como parte de la aplicación original.

La funcionalidad maliciosa inicial es activada por uno de los tres receptores de transmisión que se ejecutan después de acciones definidas: BOOT_COMPLETED, BATERIA BAJAo USUARIO_PRESENTE. Después del primer inicio, registra dinámicamente receptores de transmisión adicionales para monitorear PANTALLA EN, PANTALLA APAGADAy CONECTIVIDAD_CAMBIO eventos. La aplicación Shagle falsa luego usa IPC (comunicación entre procesos) para comunicarse entre sus componentes y desencadenar varias acciones. Se comunica con el servidor C&C mediante HTTPS para enviar información básica sobre el dispositivo comprometido y recibe un archivo cifrado con AES que contiene 11 módulos binarios que la aplicación principal ejecutará dinámicamente; consulte la Figura 10. Como se ve en la Figura 11, estos módulos se almacenan en el almacenamiento interno de la aplicación, /data/user/0/org.telegram.messenger/files/.li/.

Cada módulo es responsable de una funcionalidad diferente. La lista de los nombres de los módulos se almacena en las preferencias compartidas locales en el configuración compartida.xml expediente; consulte la figura 12.

Los módulos son activados dinámicamente por la aplicación principal siempre que sea necesario. Cada módulo tiene su propio nombre de módulo y es responsable de diferentes funcionalidades, tales como:

• libarm.jar (módulo cm) – registra llamadas telefónicas
• libmpeg4.jar (módulo nt): recopila el texto de los mensajes de notificación entrantes de 17 aplicaciones
• local.jar (módulo fm/fp) – recopila la lista de archivos (árbol de archivos) en el dispositivo
• telefono.jar (módulo ms): hace un mal uso de los servicios de accesibilidad para espiar las aplicaciones de mensajería extrayendo el nombre del contacto, el mensaje de chat y la fecha
• recursos.jar (módulo sm) – recopila mensajes SMS almacenados en el dispositivo
• servicios.jar (módulo lo) – obtiene la ubicación del dispositivo
• systemui.jar (módulo sy): recopila información del dispositivo y del sistema
• temporizador.jar (módulo ia): recopila una lista de aplicaciones instaladas
• kit de herramientas.jar (módulo cn) – recopila la lista de contactos
• reloj.jar (módulo de CA): recopila una lista de cuentas de dispositivos
• wearkit.jar (módulo cl): recopila una lista de registros de llamadas

Todos los datos obtenidos se almacenan en claro en /data/user/0/org.telegram.messenger/databases/outdata, antes de ser encriptado usando AES y enviado al servidor C&C, como se puede ver en la Figura 13.

Esta puerta trasera de StrongPity tiene funciones de espionaje ampliadas en comparación con la primera versión de StrongPity descubierta para dispositivos móviles. Puede solicitar a la víctima que active los servicios de accesibilidad y obtenga acceso a las notificaciones; consulte la Figura 14. Si la víctima los habilita, el malware espiará las notificaciones entrantes y hará un mal uso de los servicios de accesibilidad para filtrar las comunicaciones de chat de otras aplicaciones.

Figura 14. Solicitudes de malware, de la víctima, acceso a notificaciones y servicios de accesibilidad

Con el acceso a las notificaciones, el malware puede leer los mensajes de notificación recibidos provenientes de 17 aplicaciones específicas. Aquí hay una lista de los nombres de sus paquetes:

• Mensajero (com.facebook.orca)
• Mensajero Lite (com.facebook.mlite)
• Viber: chats y llamadas seguras (com.viber.voip)
• skype (com.skype.raider)
• LÍNEA: Llamadas y Mensajes (jp.naver.line.android)
• Kik: aplicación de mensajería y chat (kik.android)
• transmisión en vivo de tango y chat de video (com.sgiggle.producción)
• conversaciones (com.google.android.talk)
• Telegrama (org.telegram.messenger)
• WeChat (com.tencent.mm)
• Snapchat (com.snapchat.android)
• Tinder (com.tinder)
• Noticias y contenido de caminata (com.bsb.hike)
• instagram (com.instagram.android)
• Twitter (com.twitter.android)
• Gmail (com.google.android.gm)
• imo-llamadas internacionales y chat (com.imo.android.imoim)

Si el dispositivo ya está rooteado, el malware intenta silenciosamente otorgar permisos para ESCRIBIR_AJUSTES, ESCRIBIR_AJUSTES_SEGUROS, REINICIAR, MONTAR_FORMATO_SISTEMAS DE ARCHIVOS, MODIFICAR_ESTADO_TELÉFONO, PAQUETE_USO_STATS, LEER_ESTADO_TELÉFONO_PRIVILEGADO, para habilitar los servicios de accesibilidad y para otorgar acceso a las notificaciones. La puerta trasera StrongPity luego intenta deshabilitar la aplicación SecurityLogAgent (com.samsung.android.securitylogagent), que es una aplicación oficial del sistema que ayuda a proteger la seguridad de los dispositivos Samsung y deshabilita todas las notificaciones de aplicaciones provenientes del propio malware que podrían mostrarse a la víctima en el futuro en caso de errores, bloqueos o advertencias de la aplicación. La puerta trasera StrongPity no intenta en sí misma rootear un dispositivo.

El algoritmo AES utiliza el modo CBC y claves codificadas para descifrar los módulos descargados:

• Clave AES – aaaanadaimposiblebbb
• AESIV- aaaanadaimpos

Conclusión

La campaña móvil operada por el grupo StrongPity APT se hizo pasar por un servicio legítimo para distribuir su puerta trasera de Android. StrongPity volvió a empaquetar la aplicación oficial de Telegram para incluir una variante del código de puerta trasera del grupo.

Ese código malicioso, su funcionalidad, los nombres de las clases y el certificado utilizado para firmar el archivo APK son los mismos que los de la campaña anterior; por lo que creemos con mucha confianza que esta operación pertenece al grupo StrongPity.

En el momento de nuestra investigación, la muestra que estaba disponible en el sitio web de imitación estaba deshabilitada debido a la API_ID_PUBLISHED_FLOOD error, lo que da como resultado que no se active el código malicioso y que las víctimas potenciales posiblemente eliminen la aplicación que no funciona de sus dispositivos.

El análisis del código revela que la puerta trasera es modular y que se descargan módulos binarios adicionales del servidor C&C. Esto significa que la cantidad y el tipo de módulos utilizados se pueden cambiar en cualquier momento para adaptarse a las solicitudes de la campaña cuando los opera el grupo StrongPity.

Según nuestro análisis, esta parece ser la segunda versión del malware Android de StrongPity; en comparación con su primera versión, también hace un mal uso de los servicios de accesibilidad y el acceso a las notificaciones, almacena los datos recopilados en una base de datos local, intenta ejecutar su comandos, y para la mayor parte de la recopilación de datos utiliza módulos descargados.

IoC

archivos

SHA-1	Nombre de archivo	Nombre de detección de ESET	Descripción
50F79C7DFABECF04522AEB2AC987A800AB5EC6D7	vídeo.apk	Android/StrongPity.A	Puerta trasera StrongPity (aplicación legítima de Android Telegram reempaquetada con código malicioso).
77D6FE30DAC41E1C90BDFAE3F1CFE7091513FB91	libarm.jar	Android/StrongPity.A	Módulo móvil StrongPity encargado de grabar llamadas telefónicas.
5A15F516D5C58B23E19D6A39325B4B5C5590BDE0	libmpeg4.jar	Android/StrongPity.A	Módulo móvil de StrongPity encargado de recopilar el texto de las notificaciones recibidas.
D44818C061269930E50868445A3418A0780903FE	local.jar	Android/StrongPity.A	Módulo móvil StrongPity responsable de recopilar una lista de archivos en el dispositivo.
F1A14070D5D50D5A9952F9A0B4F7CA7FED2199EE	telefono.jar	Android/StrongPity.A	Módulo móvil de StrongPity responsable del mal uso de los servicios de accesibilidad para espiar otras apps.
3BFAD08B9AC63AF5ECF9AA59265ED24D0C76D91E	recursos.jar	Android/StrongPity.A	Módulo móvil StrongPity encargado de recolectar los mensajes SMS almacenados en el dispositivo.
5127E75A8FAF1A92D5BD0029AF21548AFA06C1B7	servicios.jar	Android/StrongPity.A	Módulo móvil StrongPity responsable de obtener la ubicación del dispositivo.
BD40DF3AD0CE0E91ACCA9488A2FE5FEEFE6648A0	systemui.jar	Android/StrongPity.A	Módulo móvil StrongPity responsable de recopilar información del dispositivo y del sistema.
ED02E16F0D57E4AD2D58F95E88356C17D6396658	temporizador.jar	Android/StrongPity.A	Módulo móvil StrongPity responsable de recopilar una lista de aplicaciones instaladas.
F754874A76E3B75A5A5C7FE849DDAE318946973B	kit de herramientas.jar	Android/StrongPity.A	Módulo móvil de StrongPity encargado de recopilar la lista de contactos.
E46B76CADBD7261FE750DBB9B0A82F262AFEB298	reloj.jar	Android/StrongPity.A	Módulo móvil StrongPity responsable de recopilar una lista de cuentas de dispositivos.
D9A71B13D3061BE12EE4905647DDC2F1189F00DE	wearkit.jar	Android/StrongPity.A	Módulo móvil StrongPity responsable de recopilar una lista de registros de llamadas.

Nuestra red

IP	Provider	Visto por primera vez	Detalles
141.255.161[.]185	NameCheap	2022-07-28	chip de circuito integrado[.]com C & C
185.12.46[.]138	Bollo de cerdo	2020-04-21	segmento de software de red[.]com C & C

Técnicas MITRE ATT & CK

Esta tabla fue construida usando Versión 12 del marco MITRE ATT & CK.

Táctica	ID	Nombre	Descripción
Persistencia	T1398	Scripts de inicialización de arranque o inicio de sesión	La puerta trasera StrongPity recibe la BOOT_COMPLETED intención de difusión para activar en el inicio del dispositivo.
	T1624.001	Ejecución activada por eventos: receptores de difusión	La funcionalidad de puerta trasera StrongPity se activa si ocurre uno de estos eventos: BATERIA BAJA, USUARIO_PRESENTE, PANTALLA EN, PANTALLA APAGADAo CONECTIVIDAD_CAMBIO.
Evasión de defensa	T1407	Descargar código nuevo en tiempo de ejecución	La puerta trasera StrongPity puede descargar y ejecutar módulos binarios adicionales.
	T1406	Archivos o información ofuscados	La puerta trasera StrongPity utiliza el cifrado AES para ofuscar los módulos descargados y ocultar cadenas en su APK.
	T1628.002	Ocultar artefactos: evasión del usuario	La puerta trasera StrongPity puede deshabilitar todas las notificaciones de aplicaciones provenientes del propio malware para ocultar su presencia.
	T1629.003	Debilitar defensas: deshabilitar o modificar herramientas	Si la puerta trasera StrongPity tiene raíz, deshabilita SecurityLogAgent (com.samsung.android.securitylogagent) si está presente.
Descubrimiento de moléculas	T1420	Descubrimiento de archivos y directorios	La puerta trasera StrongPity puede enumerar los archivos disponibles en el almacenamiento externo.
	T1418	Descubrimiento de software	El backdoor StrongPity puede obtener una lista de las aplicaciones instaladas.
	T1422	Descubrimiento de la configuración de la red del sistema	La puerta trasera StrongPity puede extraer IMEI, IMSI, dirección IP, número de teléfono y país.
	T1426	Descubrimiento de información del sistema	La puerta trasera StrongPity puede extraer información sobre el dispositivo, incluido el tipo de conexión a Internet, el número de serie de la tarjeta SIM, la identificación del dispositivo y la información común del sistema.
Colecciones	T1417.001	Captura de entrada: registro de teclas	La puerta trasera StrongPity registra las pulsaciones de teclas en mensajes de chat y datos de llamadas de aplicaciones específicas.
	T1517	Acceder a notificaciones	La puerta trasera StrongPity puede recopilar mensajes de notificación de 17 aplicaciones específicas.
	T1532	Archivar datos recopilados	La puerta trasera StrongPity cifra los datos extraídos mediante AES.
	T1430	Seguimiento de ubicación	La puerta trasera StrongPity rastrea la ubicación del dispositivo.
	T1429	Captura de audio	La puerta trasera StrongPity puede grabar llamadas telefónicas.
	T1513	Captura de pantalla	La puerta trasera StrongPity puede grabar la pantalla del dispositivo usando el Administrador de proyección de medios API.
	T1636.002	Datos de usuario protegidos: registros de llamadas	La puerta trasera StrongPity puede extraer registros de llamadas.
	T1636.003	Datos Protegidos del Usuario: Lista de Contactos	La puerta trasera StrongPity puede extraer la lista de contactos del dispositivo.
	T1636.004	Datos de usuario protegidos: mensajes SMS	La puerta trasera StrongPity puede extraer mensajes SMS.
Comando y control	T1437.001	Protocolo de capa de aplicación: protocolos web	La puerta trasera StrongPity utiliza HTTPS para comunicarse con su servidor C&C.
	T1521.001	Canal cifrado: criptografía simétrica	La puerta trasera StrongPity utiliza AES para cifrar su comunicación.
exfiltración	T1646	Exfiltración sobre canal C2	La puerta trasera StrongPity extrae datos mediante HTTPS.

• Distribución de relaciones públicas y contenido potenciado por SEO. Consiga amplificado hoy.
• Platoblockchain. Inteligencia del Metaverso Web3. Conocimiento amplificado. Accede Aquí.
• Fuente: https://www.welivesecurity.com/2023/01/10/strongpity-espionage-campaign-targeting-android-users/