Campagna di spionaggio StrongPity rivolta agli utenti Android

I ricercatori ESET hanno identificato una campagna attiva che abbiamo attribuito al gruppo StrongPity APT. Attiva da novembre 2021, la campagna ha distribuito un'app dannosa attraverso un sito Web che impersona Shagle, un servizio di chat video casuale che fornisce comunicazioni crittografate tra estranei. A differenza del vero sito Shagle interamente basato sul web che non offre un'app mobile ufficiale per accedere ai suoi servizi, il sito copycat fornisce solo un'app Android da scaricare e non è possibile lo streaming basato sul web.

L'app dannosa è, infatti, una versione completamente funzionante ma trojanizzata dell'app legittima di Telegram, presentata però come l'inesistente app Shagle. Ci riferiremo ad essa come alla falsa app Shagle, all'app Telegram trojanizzata o alla backdoor StrongPity nel resto di questo post sul blog. I prodotti ESET rilevano questa minaccia come Android/StrongPity.A.

Questa backdoor StrongPity ha varie funzionalità di spionaggio: i suoi 11 moduli attivati ​​dinamicamente sono responsabili della registrazione delle telefonate, della raccolta di messaggi SMS, degli elenchi dei registri delle chiamate, degli elenchi dei contatti e molto altro. Questi moduli vengono documentati per la prima volta. Se la vittima concede i servizi di accessibilità dell'app StrongPity dannosa, uno dei suoi moduli avrà anche accesso alle notifiche in arrivo e sarà in grado di esfiltrare la comunicazione da 17 app come Viber, Skype, Gmail, Messenger e Tinder.

La campagna è probabilmente mirata in modo molto ristretto, poiché la telemetria ESET non identifica ancora alcuna vittima. Durante la nostra ricerca, la versione analizzata del malware disponibile dal sito Web copycat non era più attiva e non era più possibile installarla correttamente e attivare la sua funzionalità backdoor perché StrongPity non ha ottenuto il proprio ID API per la sua app Telegram trojanizzata. Ma ciò potrebbe cambiare in qualsiasi momento se l'autore della minaccia decidesse di aggiornare l'app dannosa.

Panoramica

Questa campagna StrongPity è incentrata su una backdoor Android fornita da un dominio contenente la parola "olandese". Questo sito Web impersona il servizio legittimo denominato Shagle at shagle.com. Nella Figura 1 puoi vedere le home page di entrambi i siti web. L'app dannosa viene fornita direttamente dal sito Web di impersonificazione e non è mai stata resa disponibile dal Google Play Store. È una versione trojanizzata della legittima app Telegram, presentata come se fosse l'app Shagle, sebbene al momento non esista un'app Shagle Android ufficiale.

Come puoi vedere nella Figura 2, il codice HTML del sito falso include la prova che è stato copiato dal sito legittimo shagle.com sito il 1 novembre^st, 2021, utilizzando lo strumento automatizzato HTTrack. Il dominio dannoso è stato registrato lo stesso giorno, quindi il sito copycat e la falsa app Shagle potrebbero essere disponibili per il download da quella data.

Vittimologia

Nel luglio 18^th, 2022, una delle nostre regole YARA su VirusTotal è stata attivata quando un'app dannosa e un collegamento a un sito Web che imitava shagle.com sono stati caricati. Allo stesso tempo, siamo stati informati Twitter su quel campione, anche se è stato erroneamente attribuito a Bahamut. I dati di telemetria ESET non identificano ancora alcuna vittima, suggerendo che è probabile che la campagna sia stata mirata in modo ristretto.

Attribuzione

L'APK distribuito dal sito Web imitatore Shagle è firmato con lo stesso certificato di firma del codice (vedi Figura 3) di un'app di e-gov siriana trojanizzata scoperta nel 2021 da Trend Micro, anch'esso attribuito a StrongPity.

Il codice dannoso nella falsa app Shagle è stato visto nella precedente campagna mobile di StrongPity e implementa una backdoor semplice ma funzionale. Abbiamo visto questo codice utilizzato solo nelle campagne condotte da StrongPity. Nella Figura 4 è possibile vedere alcune delle classi dannose aggiunte con molti dei nomi offuscati pur essendo gli stessi nel codice di entrambe le campagne.

Confrontando il codice backdoor di questa campagna con quello dell'app e-gov siriana trojanizzata (SHA-1: 5A5910C2C9180382FCF7A939E9909044F0E8918B), ha funzionalità estese ma con lo stesso codice utilizzato per fornire funzioni simili. Nella figura 5 e nella figura 6 è possibile confrontare il codice di entrambi gli esempi responsabile dell'invio di messaggi tra i componenti. Questi messaggi sono responsabili dell'attivazione del comportamento dannoso della backdoor. Pertanto, crediamo fermamente che la falsa app Shagle sia collegata al gruppo StrongPity.

Analisi tecnica

Accesso iniziale

Come descritto nella sezione Panoramica di questo blogpost, la falsa app Shagle è stata ospitata sul sito web di Shagle copycat, da cui le vittime dovevano scegliere di scaricare e installare l'app. Non c'erano sotterfugi che suggerissero che l'app fosse disponibile su Google Play e non sappiamo in che modo le potenziali vittime siano state attirate o scoperte in altro modo sul sito Web falso.

toolset

Secondo la descrizione sul sito web di Copycat, l'app è gratuita e pensata per essere utilizzata per incontrare e chattare con nuove persone. Tuttavia, l'app scaricata è un'app Telegram con patch dannose, in particolare Telegram versione 7.5.0 (22467), che era disponibile per il download intorno al 25 febbraio^th 2022.

La versione riconfezionata di Telegram utilizza lo stesso nome del pacchetto dell'app Telegram legittima. I nomi dei pacchetti dovrebbero essere ID univoci per ogni app Android e devono essere univoci su un determinato dispositivo. Ciò significa che se l'app ufficiale di Telegram è già installata sul dispositivo di una potenziale vittima, allora questa versione backdoor non può essere installata; vedere Figura 7. Ciò potrebbe significare una delle due cose: o l'autore della minaccia comunica prima con le potenziali vittime e le spinge a disinstallare Telegram dai propri dispositivi, se è installato, oppure la campagna si concentra sui paesi in cui l'utilizzo di Telegram è raro per la comunicazione.

L'app Telegram trojanizzata di StrongPity avrebbe dovuto funzionare esattamente come la versione ufficiale per la comunicazione, utilizzando API standard ben documentate sul sito Web di Telegram, ma l'app non funziona più, quindi non siamo in grado di verificare.

Durante la nostra ricerca, l'attuale versione del malware disponibile dal sito Web copycat non era più attiva e non era più possibile installarla correttamente e attivare la sua funzionalità backdoor. Quando abbiamo provato a registrarci utilizzando il nostro numero di telefono, l'app Telegram riconfezionata non è riuscita a ottenere l'ID API dal server e quindi non ha funzionato correttamente. Come mostrato nella Figura 8, l'app mostrava un file API_ID_PUBLISHED_FLOOD errore.

Basato su Telegram documentazione degli errori, sembra che StrongPity non abbia ottenuto il proprio ID API. Invece, ha utilizzato l'ID API di esempio incluso nel codice open source di Telegram per scopi di test iniziali. Telegram monitora l'utilizzo dell'ID API e limita l'ID API di esempio, quindi il suo utilizzo in un'app rilasciata genera l'errore visualizzato nella Figura 8. A causa dell'errore, non è più possibile registrarsi e utilizzare l'app o attivare la sua funzionalità dannosa . Ciò potrebbe significare che gli operatori di StrongPity non ci hanno pensato bene, o forse c'è stato abbastanza tempo per spiare le vittime tra la pubblicazione dell'app e la sua disattivazione da parte di Telegram per un uso eccessivo dell'ID APP. Dal momento che nessuna versione nuova e funzionante dell'app è mai stata resa disponibile attraverso il sito Web, potrebbe suggerire che StrongPity abbia distribuito con successo il malware agli obiettivi desiderati.

Di conseguenza, la falsa app Shagle disponibile sul falso sito Web al momento della nostra ricerca non era più attiva. Tuttavia, questo potrebbe cambiare in qualsiasi momento se gli autori delle minacce decidono di aggiornare l'app dannosa.

I componenti e le autorizzazioni richieste dal codice backdoor StrongPity vengono aggiunti all'app Telegram AndroidManifest.xml file. Come si può vedere nella Figura 9, questo rende facile vedere quali autorizzazioni sono necessarie per il malware.

Dal manifest di Android possiamo vedere che le classi dannose sono state aggiunte nel file org.telegram.messenger pacchetto da visualizzare come parte dell'app originale.

La funzionalità dannosa iniziale viene attivata da uno dei tre ricevitori di trasmissione che vengono eseguiti dopo azioni definite: BOOT_COMPLETATO, BATTERIA SCARICA, o UTENTE_PRESENTE. Dopo il primo avvio, registra dinamicamente ulteriori ricevitori di trasmissione da monitorare SCHERMO_ON, SCHERMO SPENTOe CONNETTIVITÀ_CAMBIAMENTO eventi. La falsa app Shagle utilizza quindi IPC (comunicazione tra processi) per comunicare tra i suoi componenti per attivare varie azioni. Contatta il server C&C utilizzando HTTPS per inviare informazioni di base sul dispositivo compromesso e riceve un file crittografato con AES contenente 11 moduli binari che verranno eseguiti dinamicamente dall'app principale; vedere la Figura 10. Come mostrato nella Figura 11, questi moduli sono archiviati nella memoria interna dell'app, /data/user/0/org.telegram.messenger/files/.li/.

Ogni modulo è responsabile di diverse funzionalità. L'elenco dei nomi dei moduli è memorizzato nelle preferenze condivise locali nel file sharedconfig.xml file; vedere la Figura 12.

I moduli vengono attivati ​​dinamicamente dall'app principale ogni volta che è necessario. Ogni modulo ha il proprio nome di modulo ed è responsabile di diverse funzionalità come:

• libarm.jar (modulo cm) – registra le telefonate
• libmpeg4.jar (modulo nt) – raccoglie il testo dei messaggi di notifica in arrivo da 17 app
• locale.jar (modulo fm/fp) – raccoglie l'elenco dei file (albero dei file) sul dispositivo
• telefono.jar (modulo ms) – abusa dei servizi di accessibilità per spiare le app di messaggistica estraendo il nome del contatto, il messaggio di chat e la data
• risorse.jar (modulo sm) – raccoglie i messaggi SMS memorizzati sul dispositivo
• services.jar (modulo lo) – ottiene la posizione del dispositivo
• systemui.jar (modulo sy) – raccoglie informazioni sul dispositivo e sul sistema
• timer.jar (modulo ia) – raccoglie un elenco di app installate
• toolkit.jar (modulo cn) – raccoglie l'elenco dei contatti
• watchkit.jar (ac module) – raccoglie un elenco di account dispositivo
• wearkit.jar (modulo cl) – raccoglie un elenco di registri delle chiamate

Tutti i dati ottenuti vengono memorizzati in chiaro in /data/user/0/org.telegram.messenger/databases/outdata, prima di essere crittografato utilizzando AES e inviato al server C&C, come puoi vedere nella Figura 13.

Questa backdoor di StrongPity ha funzionalità di spionaggio estese rispetto alla prima versione di StrongPity scoperta per dispositivi mobili. Può richiedere alla vittima di attivare i servizi di accessibilità e ottenere l'accesso alle notifiche; vedere Figura 14. Se la vittima li abilita, il malware spia le notifiche in arrivo e utilizza impropriamente i servizi di accessibilità per esfiltrare le comunicazioni chat da altre app.

Figura 14. Richieste di malware, da parte della vittima, accesso alle notifiche e servizi di accessibilità

Con l'accesso alle notifiche, il malware può leggere i messaggi di notifica ricevuti provenienti da 17 app mirate. Ecco un elenco dei nomi dei loro pacchetti:

• Messaggero (com.facebook.orca)
• messaggero leggero (com.facebook.mlite)
• Viber – Chat e chiamate sicure (com.viber.voip)
• skype (com.skype.raider)
• LINE: chiamate e messaggi (jp.naver.line.android)
• Kik — App di messaggistica e chat (kik.android)
• tango live streaming e chat video (com.sgiggle.produzione)
• Hangout (com.google.android.talk)
• Telegramma (org.telegram.messenger)
• WeChat (com.tencent.mm)
• Snapchat (com.snapchat.android)
• Tinder (com.tinder)
• Notizie e contenuti sull'escursione (com.bsb.hike)
• Instagram (com.instagram.android)
• Twitter (com.twitter.android)
• GMail (com.google.android.gm)
• imo-Chiamate e chat internazionali (com.imo.android.imoim)

Se il dispositivo è già rootato, il malware cerca silenziosamente di concedere le autorizzazioni a WRITE_SETTINGS, WRITE_SECURE_SETTINGS, REBOOT, MOUNT_FORMAT_FILESYSTEMS, MODIFY_PHONE_STATE, PACKAGE_USAGE_STATS, READ_PRIVILEGED_PHONE_STATE, per abilitare i servizi di accessibilità e per concedere l'accesso alle notifiche. La backdoor StrongPity tenta quindi di disabilitare l'app SecurityLogAgent (com.samsung.android.securitylogagent), che è un'app di sistema ufficiale che aiuta a proteggere la sicurezza dei dispositivi Samsung e disabilita tutte le notifiche delle app provenienti dal malware stesso che potrebbero essere mostrate alla vittima in futuro in caso di errori dell'app, arresti anomali o avvisi. La backdoor StrongPity non tenta di per sé di eseguire il root di un dispositivo.

L'algoritmo AES utilizza la modalità CBC e le chiavi hardcoded per decrittografare i moduli scaricati:

• Chiave AES – aaaanocosaimpossibilebbb
• AES IV – aaaanothingimpos

Conclusione

La campagna mobile gestita dal gruppo StrongPity APT ha impersonato un servizio legittimo per distribuire la sua backdoor Android. StrongPity ha riconfezionato l'app ufficiale di Telegram per includere una variante del codice backdoor del gruppo.

Quel codice dannoso, la sua funzionalità, i nomi delle classi e il certificato utilizzato per firmare il file APK sono gli stessi della campagna precedente; quindi crediamo con grande sicurezza che questa operazione appartenga al gruppo StrongPity.

Al momento della nostra ricerca, il campione disponibile sul sito web di copycat era disabilitato a causa del API_ID_PUBLISHED_FLOOD errore, che comporta la mancata attivazione del codice dannoso e le potenziali vittime potrebbero rimuovere l'app non funzionante dai propri dispositivi.

L'analisi del codice rivela che la backdoor è modulare e che i moduli binari aggiuntivi vengono scaricati dal server C&C. Ciò significa che il numero e il tipo di moduli utilizzati possono essere modificati in qualsiasi momento per adattarsi alle richieste della campagna quando gestiti dal gruppo StrongPity.

Sulla base della nostra analisi, questa sembra essere la seconda versione del malware Android di StrongPity; rispetto alla sua prima versione, abusa anche dei servizi di accessibilità e dell'accesso alle notifiche, memorizza i dati raccolti in un database locale, tenta di eseguire su comandi e per la maggior parte della raccolta dati utilizza moduli scaricati.

IOCS

File

SHA-1	Nome del file	Nome di rilevamento ESET	Descrizione
50F79C7DFABECF04522AEB2AC987A800AB5EC6D7	video.apk	Android/StrongPity.A	Backdoor StrongPity (legittima app Android Telegram riconfezionata con codice dannoso).
77D6FE30DAC41E1C90BDFAE3F1CFE7091513FB91	libarm.jar	Android/StrongPity.A	Modulo mobile StrongPity responsabile della registrazione delle telefonate.
5A15F516D5C58B23E19D6A39325B4B5C5590BDE0	libmpeg4.jar	Android/StrongPity.A	Modulo mobile StrongPity responsabile della raccolta del testo delle notifiche ricevute.
D44818C061269930E50868445A3418A0780903FE	locale.jar	Android/StrongPity.A	Modulo mobile StrongPity responsabile della raccolta di un elenco di file sul dispositivo.
F1A14070D5D50D5A9952F9A0B4F7CA7FED2199EE	telefono.jar	Android/StrongPity.A	Modulo mobile StrongPity responsabile dell'uso improprio dei servizi di accessibilità per spiare altre app.
3BFAD08B9AC63AF5ECF9AA59265ED24D0C76D91E	risorse.jar	Android/StrongPity.A	Modulo mobile StrongPity responsabile della raccolta dei messaggi SMS memorizzati sul dispositivo.
5127E75A8FAF1A92D5BD0029AF21548AFA06C1B7	services.jar	Android/StrongPity.A	Modulo mobile StrongPity responsabile dell'ottenimento della posizione del dispositivo.
BD40DF3AD0CE0E91ACCA9488A2FE5FEEFE6648A0	systemui.jar	Android/StrongPity.A	Modulo mobile StrongPity responsabile della raccolta di informazioni sul dispositivo e sul sistema.
ED02E16F0D57E4AD2D58F95E88356C17D6396658	timer.jar	Android/StrongPity.A	Modulo mobile StrongPity responsabile della raccolta di un elenco di app installate.
F754874A76E3B75A5A5C7FE849DDAE318946973B	toolkit.jar	Android/StrongPity.A	Modulo mobile StrongPity responsabile della raccolta dell'elenco dei contatti.
E46B76CADBD7261FE750DBB9B0A82F262AFEB298	watchkit.jar	Android/StrongPity.A	Modulo mobile StrongPity responsabile della raccolta di un elenco di account dispositivo.
D9A71B13D3061BE12EE4905647DDC2F1189F00DE	wearkit.jar	Android/StrongPity.A	Modulo mobile StrongPity responsabile della raccolta di un elenco di registri delle chiamate.

Network NetPoulSafe

IP	Provider	Visto per la prima volta	Dettagli
141.255.161[.]185	NameCheap	2022-07-28	intagrefedcircuitchip[.]com C&C
185.12.46[.]138	panino di maiale	2020-04-21	segmento software di rete[.]com C&C

Tecniche MITRE ATT&CK

Questa tabella è stata creata utilizzando Versione 12 del framework MITRE ATT&CK.

tattica	ID	Nome	Descrizione
Persistenza	T1398	Script di inizializzazione di avvio o accesso	La backdoor StrongPity riceve il BOOT_COMPLETATO intento di trasmissione da attivare all'avvio del dispositivo.
	T1624.001	Esecuzione attivata da eventi: ricevitori broadcast	La funzionalità backdoor StrongPity viene attivata se si verifica uno di questi eventi: BATTERIA SCARICA, UTENTE_PRESENTE, SCHERMO_ON, SCHERMO SPENTO, o CONNETTIVITÀ_CAMBIAMENTO.
Evasione della difesa	T1407	Scarica il nuovo codice in fase di esecuzione	La backdoor StrongPity può scaricare ed eseguire moduli binari aggiuntivi.
	T1406	File o informazioni offuscati	La backdoor StrongPity utilizza la crittografia AES per offuscare i moduli scaricati e nascondere le stringhe nel suo APK.
	T1628.002	Nascondi artefatti: evasione dell'utente	La backdoor StrongPity può disabilitare tutte le notifiche delle app provenienti dal malware stesso per nasconderne la presenza.
	T1629.003	Impair difese: disabilita o modifica gli strumenti	Se la backdoor StrongPity ha root, disabilita SecurityLogAgent (com.samsung.android.securitylogagent) se presente.
Ricerca e Sviluppo	T1420	Scoperta di file e directory	La backdoor StrongPity può elencare i file disponibili su una memoria esterna.
	T1418	Scoperta del software	La backdoor StrongPity può ottenere un elenco di applicazioni installate.
	T1422	Scoperta della configurazione di rete del sistema	La backdoor StrongPity può estrarre IMEI, IMSI, indirizzo IP, numero di telefono e paese.
	T1426	Scoperta delle informazioni di sistema	La backdoor StrongPity può estrarre informazioni sul dispositivo, incluso il tipo di connessione Internet, il numero di serie della SIM, l'ID del dispositivo e informazioni di sistema comuni.
Collezione	T1417.001	Acquisizione input: registrazione chiavi	La backdoor StrongPity registra le sequenze di tasti nei messaggi di chat e chiama i dati dalle app mirate.
	T1517	Notifiche di accesso	La backdoor StrongPity può raccogliere messaggi di notifica da 17 app mirate.
	T1532	Archiviare i dati raccolti	La backdoor StrongPity crittografa i dati esfiltrati utilizzando AES.
	T1430	Monitoraggio della posizione	La backdoor StrongPity tiene traccia della posizione del dispositivo.
	T1429	Cattura audio	La backdoor StrongPity può registrare le telefonate.
	T1513	Screen Capture	La backdoor StrongPity può registrare lo schermo del dispositivo utilizzando il Media Projection Manager API.
	T1636.002	Dati utente protetti: registri delle chiamate	La backdoor StrongPity può estrarre i registri delle chiamate.
	T1636.003	Dati utente protetti: Elenco contatti	La backdoor StrongPity può estrarre l'elenco dei contatti del dispositivo.
	T1636.004	Dati utente protetti: messaggi SMS	La backdoor StrongPity può estrarre messaggi SMS.
Comando e controllo	T1437.001	Protocollo del livello di applicazione: protocolli Web	La backdoor StrongPity utilizza HTTPS per comunicare con il suo server C&C.
	T1521.001	Canale crittografato: crittografia simmetrica	La backdoor StrongPity utilizza AES per crittografare la sua comunicazione.
exfiltration	T1646	Esfiltrazione sul canale C2	La backdoor StrongPity esfiltra i dati utilizzando HTTPS.

• Distribuzione di contenuti basati su SEO e PR. Ricevi amplificazione oggi.
• Platoblockchain. Web3 Metaverse Intelligence. Conoscenza amplificata. Accedi qui.
• Fonte: https://www.welivesecurity.com/2023/01/10/strongpity-espionage-campaign-targeting-android-users/