Cyber-Threat Actor używa aplikacji VPN typu Booby-Trapped do wdrażania oprogramowania szpiegującego na Androida

Adware i inne niechciane i potencjalnie ryzykowne aplikacje nadal stanowią największe zagrożenie, z jakim mają do czynienia użytkownicy urządzeń mobilnych. Nie oznacza to jednak, że napastnicy nie próbują stale wdrażać również innego zaawansowanego mobilnego szkodliwego oprogramowania.

Najnowszym przykładem jest „SandStrike”, aplikacja VPN z pułapką do ładowania programów szpiegujących na urządzenia z systemem Android. Złośliwe oprogramowanie jest przeznaczone do wyszukiwania i kradzieży dzienników połączeń, list kontaktów i innych poufnych danych z zainfekowanych urządzeń; może również śledzić i monitorować docelowych użytkowników, powiedział Kaspersky w raporcie z tego tygodnia.

Dostawca zabezpieczeń powiedział, że jego badacze zaobserwowali, jak operatorzy SandStrike próbowali zainstalować wyrafinowane oprogramowanie szpiegujące na urządzeniach należących do członków irańskiej społeczności bahaickiej, prześladowanej, perskojęzycznej grupy mniejszościowej. Sprzedawca nie ujawnił jednak, ile urządzeń mógł zostać zaatakowany przez cyberprzestępcę lub udało mu się je zainfekować. Nie można było od razu skontaktować się z Kasperskym w celu uzyskania komentarza.

Opracuj przynęty w mediach społecznościowych

Aby skłonić użytkowników do pobrania uzbrojonej aplikacji, cyberprzestępcy utworzyli wiele kont na Facebooku i Instagramie, z których wszystkie mają ponad 1,000 obserwujących. Konta w mediach społecznościowych są przeładowane atrakcyjną grafiką o tematyce religijnej, którą Kaspersky określił jako atrakcyjną, mającą na celu przyciągnięcie uwagi członków docelowej grupy wyznaniowej. Konta często zawierają również link do kanału Telegram, który oferuje bezpłatną aplikację VPN dla użytkowników, którzy chcą uzyskać dostęp do stron zawierających zakazane materiały religijne.

Według Kaspersky, cyberprzestępcy stworzyli nawet własną infrastrukturę VPN, aby aplikacja była w pełni funkcjonalna. Ale kiedy użytkownik pobiera i używa SandStrike, po cichu zbiera i eksfiltruje wrażliwe dane związane z właścicielem zainfekowanego urządzenia.

Kampania jest tylko najnowszą z rosnącej listy działań szpiegowskich obejmujących zaawansowaną infrastrukturę i mobilne oprogramowanie szpiegujące — arenę, która obejmuje dobrze znane zagrożenia, takie jak osławione oprogramowanie szpiegujące Pegasus firmy NSO Group. wraz z pojawiającymi się problemami, takimi jak Hermit.

Mobilne złośliwe oprogramowanie rośnie w siłę

Aplikacja SandStrike VPN z pułapką to przykład rosnącej gamy złośliwych narzędzi wdrażanych na urządzeniach mobilnych. Badania opublikowane na początku tego roku przez Proofpoint podkreśliły: 500% wzrost liczby prób dostarczenia mobilnego szkodliwego oprogramowania w Europie w pierwszym kwartale br. Wzrost nastąpił po gwałtownym spadku liczby ataków pod koniec 2021 roku.

Producent zabezpieczeń poczty e-mail stwierdził, że wiele nowych narzędzi do złośliwego oprogramowania jest zdolnych do znacznie więcej niż tylko kradzieży danych uwierzytelniających: „Niedawne wykrycia dotyczyły złośliwego oprogramowania zdolnego do nagrywania dźwięku i wideo z telefonu i innego niż telefon, śledzenia lokalizacji oraz niszczenia lub usuwania treści i danych ”.

Oficjalne sklepy z aplikacjami mobilnymi Google i Apple nadal są popularnym wektorem dostarczania mobilnego szkodliwego oprogramowania. Jednak cyberprzestępcy coraz częściej wykorzystują kampanie phishingowe oparte na SMS-ach i oszustwa socjotechniczne, takie jak w kampanii SandStrike, aby skłonić użytkowników do zainstalowania złośliwego oprogramowania na swoich urządzeniach mobilnych.

Proofpoint odkrył również, że atakujący atakują urządzenia z Androidem znacznie częściej niż urządzenia z systemem iOS. Jednym z ważnych powodów jest to, że iOS nie pozwala użytkownikom instalować aplikacji za pośrednictwem nieoficjalnego sklepu z aplikacjami innej firmy lub pobierać jej bezpośrednio na urządzenie, tak jak robi to Android, powiedział Proofpoint.

Różne typy mobilnego szkodliwego oprogramowania w obiegu

Proofpoint zidentyfikował najważniejsze zagrożenia mobilnego szkodliwego oprogramowania, takie jak FluBot, TeaBot, TangleBot, MoqHao i BRATA. Różne możliwości zintegrowane z tymi narzędziami do złośliwego oprogramowania obejmują kradzież danych i poświadczeń, kradzież środków z kont internetowych i ogólne szpiegostwo i inwigilacja. Jedno z tych zagrożeń — FluBot — było w dużej mierze ciche od czasu zakłócenia jego infrastruktury, w skoordynowanej akcji organów ścigania w czerwcu.

Proofpoint ustalił, że mobilne złośliwe oprogramowanie nie ogranicza się do określonego regionu lub języka. „Zamiast tego cyberprzestępcy dostosowują swoje kampanie do różnych języków, regionów i urządzeń” – ostrzegła firma.

Tymczasem Kaspersky powiedział, że jest zablokowany około 5.5 miliona złośliwych, adware i ryzykownych ataków wymierzone w urządzenia mobilne w II kwartale 2 r. Ponad 2022% tych ataków dotyczyło oprogramowania typu adware, co czyni je obecnie najczęstszym zagrożeniem mobilnym. Ale inne godne uwagi zagrożenia obejmowały mobilne trojany bankowe, mobilne narzędzia ransomware, łącze spyware SandStrike oraz… programy do pobierania złośliwego oprogramowania. Kaspersky odkrył, że twórcy niektórych szkodliwych aplikacji mobilnych coraz częściej atakują użytkowników z wielu krajów jednocześnie.

Trend mobilnego szkodliwego oprogramowania stanowi rosnące zagrożenie dla organizacji korporacyjnych, zwłaszcza tych, które dopuszczają niezarządzane i osobiste urządzenia w miejscu pracy. W zeszłym roku amerykańska Agencja ds. Bezpieczeństwa Cyberbezpieczeństwa i Infrastruktury (CISA) wydała lista kontrolna działań które organizacje mogą podjąć, aby zaradzić tym zagrożeniom. Jej zalecenia obejmują potrzebę wdrożenia przez organizacje zarządzania urządzeniami mobilnymi ukierunkowanego na bezpieczeństwo; aby zapewnić, że dostęp do aplikacji i danych mają tylko zaufane urządzenia; używać silnego uwierzytelniania; wyłączyć dostęp do zewnętrznych sklepów z aplikacjami; oraz zapewnienie, że użytkownicy korzystają wyłącznie z wyselekcjonowanych sklepów z aplikacjami.