Cyber-Threat Actor utilise une application VPN piégée pour déployer un logiciel espion Android

Les logiciels publicitaires et autres applications indésirables et potentiellement risquées continuent de représenter la plus grande menace à laquelle les utilisateurs d'appareils mobiles sont actuellement confrontés. Mais cela ne signifie pas que les attaquants n’essaient pas constamment de déployer d’autres logiciels malveillants mobiles sophistiqués.

Le dernier exemple en date est « SandStrike », une application VPN piégée permettant de charger des logiciels espions sur les appareils Android. Le malware est conçu pour rechercher et voler les journaux d’appels, les listes de contacts et autres données sensibles des appareils infectés ; il peut également suivre et surveiller des utilisateurs ciblés, a déclaré Kaspersky dans un rapport cette semaine.

Le fournisseur de sécurité a déclaré que ses chercheurs avaient observé les opérateurs de SandStrike tenter de déployer le logiciel espion sophistiqué sur des appareils appartenant à des membres de la communauté bahá’íe d’Iran, un groupe minoritaire persécuté de langue persane. Mais le fournisseur n’a pas révélé combien d’appareils l’auteur de la menace aurait pu cibler ou avoir réussi à infecter. Kaspersky n'a pas pu être contacté dans l'immédiat pour commenter.

Élaborer des leurres sur les réseaux sociaux

Pour inciter les utilisateurs à télécharger l'application militarisée, les auteurs de la menace ont créé plusieurs comptes Facebook et Instagram, prétendant tous compter plus de 1,000 XNUMX abonnés. Les comptes de réseaux sociaux regorgent de ce que Kaspersky a décrit comme des graphiques attrayants à thème religieux, conçus pour attirer l'attention des membres du groupe religieux ciblé. Les comptes contiennent souvent également un lien vers une chaîne Telegram qui propose une application VPN gratuite pour les utilisateurs souhaitant accéder à des sites contenant du matériel religieux interdit.

D'après Kaspersky, les auteurs de la menace ont même mis en place leur propre infrastructure VPN pour rendre l'application entièrement fonctionnelle. Mais lorsqu'un utilisateur télécharge et utilise SandStrike, celui-ci collecte et exfiltre discrètement les données sensibles associées au propriétaire de l'appareil infecté.

Cette campagne n’est que la dernière d’une liste croissante d’efforts d’espionnage impliquant des infrastructures avancées et des logiciels espions mobiles – un domaine qui comprend des menaces bien connues comme le célèbre logiciel espion Pegasus de NSO Group. avec des problèmes émergents comme Hermit.

Les logiciels malveillants mobiles en hausse

L'application piégée VPN SandStrike est un exemple de la gamme croissante d'outils malveillants déployés sur les appareils mobiles. Une étude publiée par Proofpoint plus tôt cette année a mis en évidence un Augmentation de 500 % des tentatives de diffusion de logiciels malveillants mobiles en Europe au premier trimestre de cette année. Cette augmentation fait suite à une forte baisse des volumes d’attaques vers la fin de 2021.

Le fournisseur de sécurité de messagerie a découvert que bon nombre des nouveaux outils malveillants sont capables de bien plus que simplement voler des informations d'identification : « Les détections récentes ont impliqué des logiciels malveillants capables d'enregistrer des fichiers audio et vidéo téléphoniques et non téléphoniques, de suivre la localisation et de détruire ou d'effacer le contenu et les données. .»

Les magasins d’applications mobiles officiels de Google et d’Apple restent un vecteur populaire de diffusion de logiciels malveillants sur mobile. Mais les acteurs malveillants ont également de plus en plus recours à des campagnes de phishing par SMS et à des escroqueries d'ingénierie sociale, comme celles de la campagne SandStrike, pour inciter les utilisateurs à installer des logiciels malveillants sur leurs appareils mobiles.

Proofpoint a également constaté que les attaquants ciblent bien plus les appareils Android que les appareils iOS. L’une des principales raisons est qu’iOS ne permet pas aux utilisateurs d’installer une application via une boutique d’applications tierce non officielle ou de la télécharger directement sur l’appareil, comme le fait Android, a déclaré Proofpoint.

Différents types de logiciels malveillants mobiles en circulation

Proofpoint a identifié les menaces de logiciels malveillants mobiles les plus importantes comme FluBot, TeaBot, TangleBot, MoqHao et BRATA. Les différentes fonctionnalités intégrées à ces outils malveillants incluent le vol de données et d'identifiants, le vol de fonds sur des comptes en ligne et des opérations générales. espionnage et surveillance. L'une de ces menaces, FluBot, est restée largement silencieuse depuis la perturbation de ses infrastructures dans le cadre d'une action coordonnée des forces de l'ordre en juin.

Proofpoint a constaté que les logiciels malveillants mobiles ne se limitent pas à une région ou une langue spécifique. « Au lieu de cela, les acteurs de la menace adaptent leurs campagnes à une variété de langues, de régions et d'appareils », a prévenu l'entreprise.

Pendant ce temps, Kaspersky a déclaré qu'il avait bloqué quelque 5.5 millions d'attaques de logiciels malveillants, publicitaires et risqués ciblant les appareils mobiles au deuxième trimestre 2. Plus de 2022 % de ces attaques impliquaient des logiciels publicitaires, ce qui en fait la menace mobile la plus courante à l'heure actuelle. Mais d'autres menaces notables comprenaient les chevaux de Troie bancaires mobiles, les outils de rançongiciels mobiles, le lien de logiciel espion SandStrike et téléchargeurs de logiciels malveillants. Kaspersky a découvert que les créateurs de certaines applications mobiles malveillantes ciblaient de plus en plus les utilisateurs de plusieurs pays à la fois.

La tendance des logiciels malveillants mobiles constitue une menace croissante pour les entreprises, en particulier celles qui autorisent la présence d'appareils personnels non gérés sur le lieu de travail. L'année dernière, l'Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a publié un liste de contrôle des actions que les organisations peuvent prendre pour faire face à ces menaces. Ses recommandations incluent la nécessité pour les organisations de mettre en œuvre une gestion des appareils mobiles axée sur la sécurité ; pour garantir que seuls les appareils de confiance sont autorisés à accéder aux applications et aux données ; utiliser une authentification forte ; pour désactiver l'accès aux magasins d'applications tiers ; et pour garantir que les utilisateurs utilisent uniquement des magasins d'applications sélectionnés.