StrongPity-spionasjekampanje rettet mot Android-brukere

ESET-forskere identifiserte en aktiv kampanje som vi har tilskrevet StrongPity APT-gruppen. Kampanjen har vært aktiv siden november 2021 og har distribuert en ondsinnet app gjennom et nettsted som utgir seg for å være Shagle – en tilfeldig videochattjeneste som gir kryptert kommunikasjon mellom fremmede. I motsetning til det helt nettbaserte, ekte Shagle-nettstedet som ikke tilbyr en offisiell mobilapp for å få tilgang til tjenestene sine, tilbyr copycat-siden kun en Android-app å laste ned, og ingen nettbasert strømming er mulig.

Den ondsinnede appen er faktisk en fullt funksjonell, men trojanisert versjon av den legitime Telegram-appen, men presentert som den ikke-eksisterende Shagle-appen. Vi vil referere til det som den falske Shagle-appen, den trojaniserte Telegram-appen eller StrongPity-bakdøren i resten av denne bloggposten. ESET-produkter oppdager denne trusselen som Android/StrongPity.A.

Denne StrongPity-bakdøren har forskjellige spioneringsfunksjoner: dens 11 dynamisk utløste moduler er ansvarlige for å ta opp telefonsamtaler, samle inn SMS-meldinger, lister over anropslogger, kontaktlister og mye mer. Disse modulene blir dokumentert for aller første gang. Hvis offeret gir den ondsinnede StrongPity-appen tilgjengelighetstjenester, vil en av modulene også ha tilgang til innkommende varsler og vil kunne eksfiltrere kommunikasjon fra 17 apper som Viber, Skype, Gmail, Messenger samt Tinder.

Kampanjen er sannsynligvis svært smalt målrettet, siden ESET-telemetri fortsatt ikke identifiserer noen ofre. Under vår forskning var den analyserte versjonen av skadelig programvare tilgjengelig fra copycat-nettstedet ikke lenger aktiv, og det var ikke lenger mulig å installere den og utløse bakdørsfunksjonaliteten fordi StrongPity ikke har fått sin egen API-ID for sin trojaniserte Telegram-app. Men det kan endres når som helst hvis trusselaktøren skulle bestemme seg for å oppdatere den skadelige appen.

Oversikt

Denne StrongPity-kampanjen sentrerer seg rundt en Android-bakdør levert fra et domene som inneholder ordet "nederlandsk". Dette nettstedet etterligner den legitime tjenesten som heter Shagle at shagle.com. I figur 1 kan du se hjemmesidene til begge nettsidene. Den ondsinnede appen leveres direkte fra nettstedet som etterligner seg og har aldri blitt gjort tilgjengelig fra Google Play-butikken. Det er en trojanisert versjon av den legitime Telegram-appen, presentert som om den var Shagle-appen, selv om det for øyeblikket ikke finnes noen offisiell Shagle Android-app.

Som du kan se i figur 2, inkluderer HTML-koden til det falske nettstedet bevis på at det ble kopiert fra den legitime shagle.com nettsted 1. november^st, 2021, ved å bruke det automatiserte verktøyet HTTrack. Det ondsinnede domenet ble registrert samme dag, så copycat-siden og den falske Shagle-appen kan ha vært tilgjengelig for nedlasting siden den datoen.

viktimologi

18 juli^th, 2022, ble en av våre YARA-regler på VirusTotal utløst når en ondsinnet app og en lenke til et nettsted etterligner shagle.com ble lastet opp. Samtidig ble vi varslet på Twitter om den prøven, selv om den var feilaktig tilskrevet Bahamut. ESET-telemetridata identifiserer fortsatt ingen ofre, noe som tyder på at kampanjen sannsynligvis har vært smalt målrettet.

Attribution

APK-en distribuert av copycat Shagle-nettstedet er signert med det samme kodesigneringssertifikatet (se figur 3) som en trojanisert syrisk e-gov-app oppdaget i 2021 av trend Micro, som også ble tilskrevet StrongPity.

Ondsinnet kode i den falske Shagle-appen ble sett i den forrige mobilkampanjen av StrongPity, og implementerer en enkel, men funksjonell, bakdør. Vi har sett at denne koden kun brukes i kampanjer utført av StrongPity. I figur 4 kan du se noen av de ondsinnede klassene som er lagt til, med mange av de skjulte navnene som til og med er de samme i koden fra begge kampanjene.

Sammenligner bakdørkoden fra denne kampanjen med den fra den trojaniserte syriske e-gov-appen (SHA-1: 5A5910C2C9180382FCF7A939E9909044F0E8918B), den har utvidet funksjonalitet, men med samme kode som brukes til å gi lignende funksjoner. I figur 5 og figur 6 kan du sammenligne koden fra begge prøvene som er ansvarlig for å sende meldinger mellom komponenter. Disse meldingene er ansvarlige for å utløse bakdørens ondsinnede oppførsel. Derfor tror vi sterkt at den falske Shagle-appen er knyttet til StrongPity-gruppen.

Teknisk analyse

Innledende tilgang

Som beskrevet i Oversikt-delen av denne bloggposten, har den falske Shagle-appen vært vert på Shagle copycat-nettstedet, hvor ofrene måtte velge å laste ned og installere appen. Det var ingen undergraving som tydet på at appen var tilgjengelig fra Google Play, og vi vet ikke hvordan potensielle ofre ble lokket til, eller på annen måte oppdaget, det falske nettstedet.

verktøysett

I følge beskrivelsen på copycat-nettstedet er appen gratis og ment å brukes til å møte og chatte med nye mennesker. Imidlertid er den nedlastede appen en ondsinnet lappet Telegram-app, nærmere bestemt Telegram versjon 7.5.0 (22467), som var tilgjengelig for nedlasting rundt 25. februar^th, 2022.

Den ompakkede versjonen av Telegram bruker samme pakkenavn som den legitime Telegram-appen. Pakkenavn er ment å være unike ID-er for hver Android-app og må være unike på en gitt enhet. Dette betyr at hvis den offisielle Telegram-appen allerede er installert på enheten til et potensielt offer, kan ikke denne bakdørsversjonen installeres; se figur 7. Dette kan bety én av to ting – enten kommuniserer trusselaktøren først med potensielle ofre og presser dem til å avinstallere Telegram fra enhetene deres hvis det er installert, eller kampanjen fokuserer på land der bruk av Telegram er sjelden for kommunikasjon.

StrongPitys trojaniserte Telegram-app burde ha fungert akkurat som den offisielle versjonen gjør for kommunikasjon, ved å bruke standard API-er som er godt dokumentert på Telegram-nettstedet – men appen fungerer ikke lenger, så vi kan ikke sjekke.

Under forskningen vår var den nåværende versjonen av skadelig programvare tilgjengelig fra copycat-nettstedet ikke lenger aktiv, og det var ikke lenger mulig å installere den og utløse bakdørsfunksjonaliteten. Da vi prøvde å registrere oss med telefonnummeret vårt, kunne ikke den ompakkede Telegram-appen få API-ID-en fra serveren, og fungerte derfor ikke som den skal. Som vist i figur 8, viste appen en API_ID_PUBLISHED_FLOOD feil.

Basert på Telegrams feildokumentasjon, ser det ut til at StrongPity ikke har fått sin egen API-ID. I stedet har den brukt prøve-API-ID-en som er inkludert i Telegrams åpen kildekode for innledende testformål. Telegram overvåker API-ID-bruken og begrenser prøve-API-IDen, så bruken av den i en utgitt app resulterer i feilen vist i figur 8. På grunn av feilen er det ikke lenger mulig å registrere seg og bruke appen eller utløse dens skadelige funksjonalitet. . Dette kan bety at StrongPity-operatører ikke tenkte gjennom dette, eller kanskje det var nok tid til å spionere på ofre mellom publisering av appen og den ble deaktivert av Telegram for overbruk av APP-ID. Siden ingen ny og fungerende versjon av appen noen gang ble gjort tilgjengelig via nettstedet, kan det tyde på at StrongPity har implementert skadelig programvare til de ønskede målene.

Som et resultat var den falske Shagle-appen som var tilgjengelig på den falske nettsiden på tidspunktet for undersøkelsen vår, ikke aktiv lenger. Dette kan imidlertid endres når som helst dersom trusselaktørene skulle bestemme seg for å oppdatere den skadelige appen.

Komponenter av, og tillatelser som kreves av, StrongPity-bakdørskoden er lagt til Telegram-appens AndroidManifest.xml fil. Som du kan se i figur 9, gjør dette det enkelt å se hvilke tillatelser som er nødvendige for skadevaren.

Fra Android-manifestet kan vi se at ondsinnede klasser ble lagt til i org.telegram.messenger pakken skal vises som en del av den originale appen.

Den første ondsinnede funksjonaliteten utløses av en av tre kringkastingsmottakere som utføres etter definerte handlinger – BOOT_COMPLETED, LAVT BATTERIeller USER_PRESENT. Etter den første starten registrerer den dynamisk flere kringkastingsmottakere som skal overvåkes SCREEN_ON, SCREEN_OFFog CONNECTIVITY_CHANGE arrangementer. Den falske Shagle-appen bruker deretter IPC (interprosesskommunikasjon) for å kommunisere mellom komponentene for å utløse ulike handlinger. Den kontakter C&C-serveren ved hjelp av HTTPS for å sende grunnleggende informasjon om den kompromitterte enheten og mottar en AES-kryptert fil som inneholder 11 binære moduler som kjøres dynamisk av den overordnede appen; se figur 10. Som vist i figur 11, lagres disse modulene i appens interne lagring, /data/user/0/org.telegram.messenger/files/.li/.

Hver modul er ansvarlig for forskjellig funksjonalitet. Listen over modulnavnene er lagret i lokale delte preferanser i sharedconfig.xml fil; se figur 12.

Moduler utløses dynamisk av foreldreappen når det er nødvendig. Hver modul har sitt eget modulnavn og er ansvarlig for forskjellig funksjonalitet som:

• libarm.jar (cm-modul) – tar opp telefonsamtaler
• libmpeg4.jar (nt-modul) – samler inn tekst fra innkommende varslingsmeldinger fra 17 apper
• local.jar (fm/fp-modul) – samler filliste (filtre) på enheten
• telefon.jar (ms-modul) – misbruker tilgjengelighetstjenester for å spionere på meldingsapper ved å eksfiltrere kontaktnavn, chat-melding og dato
• resources.jar (sm-modul) – samler inn SMS-meldinger som er lagret på enheten
• tjenester.jar (lo modul) – henter enhetsplassering
• systemui.jar (sy-modul) – samler inn enhets- og systeminformasjon
• timer.jar (ia-modul) – samler en liste over installerte apper
• toolkit.jar (cn-modul) – samler kontaktliste
• watchkit.jar (ac-modul) – samler en liste over enhetskontoer
• wearkit.jar (cl-modul) – samler en liste over anropslogger

Alle innhentede data lagres i clear in /data/user/0/org.telegram.messenger/databases/outdata, før den blir kryptert med AES og sendt til C&C-serveren, som du kan se i figur 13.

Denne StrongPity-bakdøren har utvidede spionfunksjoner sammenlignet med den første StrongPity-versjonen som ble oppdaget for mobil. Den kan be offeret om å aktivere tilgjengelighetstjenester og få varslingstilgang; se figur 14. Hvis offeret aktiverer dem, vil skadelig programvare spionere på innkommende varsler og misbruke tilgjengelighetstjenester for å eksfiltrere chatkommunikasjon fra andre apper.

Figur 14. Skadelig programvare forespørsler fra offeret om varslingstilgang og tilgjengelighetstjenester

Med varslingstilgang kan skadelig programvare lese mottatte varslingsmeldinger som kommer fra 17 målrettede apper. Her er en liste over pakkenavnene deres:

• Budbringer (com.facebook.orca)
• messenger lite (com.facebook.mlite)
• Viber – trygge chatter og anrop (com.viber.voip)
• Skype (com.skype.raider)
• LINJE: Samtaler og meldinger (jp.naver.line.android)
• Kik — Meldings- og chat-app (kik.android)
• tango-live stream og videochat (com.sgiggle.production)
• Hangouts (com.google.android.talk)
• telegram (org.telegram.messenger)
• WeChat (com.tencent.mm)
• Snapchat (com.snapchat.android)
• Knusk (com.tinder)
• Fottur nyheter og innhold (com.bsb.vandring)
• instagram (com.instagram.android)
• Twitter (com.twitter.android)
• Gmail (com.google.android.gm)
• imo-International Calls & Chat (com.imo.android.imoim)

Hvis enheten allerede er rotfestet, prøver skadevaren stille å gi tillatelser til WRITE_SETTINGS, WRITE_SECURE_SETTINGS, REBOOT, MOUNT_FORMAT_FILESYSTEMS, MODIFY_PHONE_STATE, PACKAGE_USAGE_STATS, READ_PRIVILEGED_PHONE_STATE, for å aktivere tilgjengelighetstjenester og for å gi varslingstilgang. StrongPity-bakdøren prøver deretter å deaktivere SecurityLogAgent-appen (com.samsung.android.securitylogagent), som er en offisiell systemapp som bidrar til å beskytte sikkerheten til Samsung-enheter, og deaktiverer alle appvarsler som kommer fra selve skadevaren som kan vises til offeret i fremtiden i tilfelle appfeil, krasj eller advarsler. StrongPity-bakdøren prøver ikke selv å rote en enhet.

AES-algoritmen bruker CBC-modus og hardkodede nøkler for å dekryptere de nedlastede modulene:

• AES nøkkel – aaaannoe umuligbbb
• AES IV – aaaanothingimpos

konklusjonen

Mobilkampanjen som drives av StrongPity APT-gruppen, etterlignet en legitim tjeneste for å distribuere Android-bakdøren. StrongPity pakket om den offisielle Telegram-appen for å inkludere en variant av gruppens bakdørkode.

Den ondsinnede koden, dens funksjonalitet, klassenavn og sertifikatet som ble brukt til å signere APK-filen, er de samme som fra forrige kampanje; derfor tror vi med stor tillit at denne operasjonen tilhører StrongPity-gruppen.

På tidspunktet for forskningen vår var prøven som var tilgjengelig på copycat-nettstedet deaktivert på grunn av API_ID_PUBLISHED_FLOOD feil, som resulterer i at ondsinnet kode ikke utløses og at potensielle ofre muligens fjerner den ikke-fungerende appen fra enhetene sine.

Kodeanalyse avslører at bakdøren er modulær og ytterligere binære moduler lastes ned fra C&C-serveren. Dette betyr at antall og type moduler som brukes kan endres når som helst for å passe til kampanjeforespørslene når de drives av StrongPity-gruppen.

Basert på vår analyse ser dette ut til å være den andre versjonen av StrongPitys Android-skadevare; sammenlignet med den første versjonen misbruker den også tilgjengelighetstjenester og varslingstilgang, lagrer innsamlede data i en lokal database, prøver å utføre su kommandoer, og for det meste av datainnsamlingen bruker nedlastede moduler.

IoCs

Filer

SHA-1	Filnavn	ESET-deteksjonsnavn	Beskrivelse
50F79C7DFABECF04522AEB2AC987A800AB5EC6D7	video.apk	Android/StrongPity.A	StrongPity backdoor (legitim Android Telegram-app pakket om med ondsinnet kode).
77D6FE30DAC41E1C90BDFAE3F1CFE7091513FB91	libarm.jar	Android/StrongPity.A	StrongPity mobilmodul ansvarlig for å ta opp telefonsamtaler.
5A15F516D5C58B23E19D6A39325B4B5C5590BDE0	libmpeg4.jar	Android/StrongPity.A	StrongPity mobilmodul ansvarlig for å samle inn tekst fra mottatte varsler.
D44818C061269930E50868445A3418A0780903FE	local.jar	Android/StrongPity.A	StrongPity mobilmodul ansvarlig for å samle en filliste på enheten.
F1A14070D5D50D5A9952F9A0B4F7CA7FED2199EE	telefon.jar	Android/StrongPity.A	StrongPity mobilmodul som er ansvarlig for å misbruke tilgjengelighetstjenester for å spionere på andre apper.
3BFAD08B9AC63AF5ECF9AA59265ED24D0C76D91E	resources.jar	Android/StrongPity.A	StrongPity mobilmodul ansvarlig for å samle inn SMS-meldinger lagret på enheten.
5127E75A8FAF1A92D5BD0029AF21548AFA06C1B7	tjenester.jar	Android/StrongPity.A	StrongPity mobilmodul som er ansvarlig for å finne enhetsplassering.
BD40DF3AD0CE0E91ACCA9488A2FE5FEEFE6648A0	systemui.jar	Android/StrongPity.A	StrongPity mobilmodul som er ansvarlig for å samle inn enhets- og systeminformasjon.
ED02E16F0D57E4AD2D58F95E88356C17D6396658	timer.jar	Android/StrongPity.A	StrongPity mobilmodul som er ansvarlig for å samle en liste over installerte apper.
F754874A76E3B75A5A5C7FE849DDAE318946973B	toolkit.jar	Android/StrongPity.A	StrongPity mobilmodul ansvarlig for å samle kontaktlisten.
E46B76CADBD7261FE750DBB9B0A82F262AFEB298	watchkit.jar	Android/StrongPity.A	StrongPity mobilmodul som er ansvarlig for å samle en liste over enhetskontoer.
D9A71B13D3061BE12EE4905647DDC2F1189F00DE	wearkit.jar	Android/StrongPity.A	StrongPity mobilmodul ansvarlig for å samle en liste over samtalelogger.

Network

IP	Provider	Først sett	Detaljer
141.255.161[.]185	Namecheap	2022-07-28	intagrefedcircuitchip[.]com C&C
185.12.46[.]138	Svinekjøtt	2020-04-21	nettverksprogramvaresegment[.]com C&C

MITRE ATT&CK-teknikker

Dette bordet ble bygget vha versjon 12 av MITRE ATT&CK-rammeverket.

taktikk	ID	Navn	Beskrivelse
Utholdenhet	T1398	Start- eller påloggingsinitialiseringsskript	StrongPity-bakdøren mottar BOOT_COMPLETED kringkastingsintensjon om å aktiveres ved oppstart av enheten.
	T1624.001	Hendelsesutløst utførelse: Broadcast-mottakere	StrongPity-bakdørsfunksjonaliteten utløses hvis en av disse hendelsene inntreffer: LAVT BATTERI, USER_PRESENT, SCREEN_ON, SCREEN_OFFeller CONNECTIVITY_CHANGE.
Forsvarsunndragelse	T1407	Last ned ny kode under kjøretid	StrongPity-bakdøren kan laste ned og kjøre flere binære moduler.
	T1406	Uklare filer eller informasjon	StrongPity-bakdøren bruker AES-kryptering for å skjule nedlastede moduler og skjule strenger i APK-en.
	T1628.002	Skjul artefakter: Brukerunndragelse	StrongPity-bakdøren kan deaktivere alle appvarslinger som kommer fra selve skadevaren for å skjule tilstedeværelsen.
	T1629.003	Forringe forsvar: Deaktiver eller endre verktøy	Hvis StrongPity-bakdøren har root, deaktiverer den SecurityLogAgent (com.samsung.android.securitylogagent) hvis tilstede.
Discovery	T1420	Fil- og katalogoppdagelse	StrongPity-bakdøren kan vise tilgjengelige filer på ekstern lagring.
	T1418	Oppdagelse av programvare	StrongPity-bakdøren kan få en liste over installerte applikasjoner.
	T1422	Oppdagelse av systemnettverkskonfigurasjon	StrongPity-bakdøren kan trekke ut IMEI, IMSI, IP-adresse, telefonnummer og land.
	T1426	Oppdagelse av systeminformasjon	StrongPity-bakdøren kan trekke ut informasjon om enheten, inkludert type internettforbindelse, SIM-serienummer, enhets-ID og vanlig systeminformasjon.
Samling	T1417.001	Inndatafangst: Tastelogging	StrongPity-bakdøren logger tastetrykk i chat-meldinger og anropsdata fra målrettede apper.
	T1517	Tilgangsvarsler	StrongPity-bakdøren kan samle varslingsmeldinger fra 17 målrettede apper.
	T1532	Arkiver innsamlede data	StrongPity-bakdøren krypterer eksfiltrerte data ved hjelp av AES.
	T1430	Lokalsporing	StrongPity-bakdøren sporer enhetens plassering.
	T1429	Audio Capture	StrongPity-bakdøren kan ta opp telefonsamtaler.
	T1513	Screen Capture	StrongPity-bakdøren kan ta opp enhetens skjerm ved hjelp av MediaProjectionManager API.
	T1636.002	Beskyttede brukerdata: Anropslogger	StrongPity-bakdøren kan trekke ut anropslogger.
	T1636.003	Beskyttet brukerdata: Kontaktliste	StrongPity-bakdøren kan trekke ut enhetens kontaktliste.
	T1636.004	Beskyttet brukerdata: SMS-meldinger	StrongPity-bakdøren kan trekke ut SMS-meldinger.
Command and Control	T1437.001	Application Layer Protocol: Webprotokoller	StrongPity-bakdøren bruker HTTPS for å kommunisere med sin C&C-server.
	T1521.001	Kryptert kanal: symmetrisk kryptografi	StrongPity-bakdøren bruker AES for å kryptere kommunikasjonen.
exfiltration	T1646	Eksfiltrering over C2-kanal	StrongPity-bakdøren eksfiltrerer data ved hjelp av HTTPS.

• SEO-drevet innhold og PR-distribusjon. Bli forsterket i dag.
• Platoblokkkjede. Web3 Metaverse Intelligence. Kunnskap forsterket. Tilgang her.
• kilde: https://www.welivesecurity.com/2023/01/10/strongpity-espionage-campaign-targeting-android-users/