Ator de ameaças cibernéticas usa aplicativo VPN armadilhado para implantar spyware para Android

Adware e outros aplicativos indesejados e potencialmente arriscados continuam a representar a maior ameaça que os usuários de dispositivos móveis enfrentam atualmente. Mas isso não significa que os invasores não estejam constantemente tentando implantar outros malwares móveis sofisticados.

O exemplo mais recente é o “SandStrike”, um aplicativo VPN com armadilha para carregar spyware em dispositivos Android. O malware foi projetado para localizar e roubar registros de chamadas, listas de contatos e outros dados confidenciais de dispositivos infectados; ele também pode rastrear e monitorar usuários-alvo, disse a Kaspersky em um relatório esta semana.

O fornecedor de segurança disse que seus pesquisadores observaram os operadores do SandStrike tentando implantar o sofisticado spyware em dispositivos pertencentes a membros da comunidade bahá'í do Irã, um grupo minoritário perseguido de língua persa. Mas o fornecedor não revelou quantos dispositivos o agente da ameaça pode ter visado ou infectado com sucesso. A Kaspersky não foi encontrada imediatamente para comentar.

Elaborar iscas de mídia social

Para atrair os usuários a baixar o aplicativo armado, os agentes da ameaça criaram várias contas no Facebook e no Instagram, todas as quais pretendem ter mais de 1,000 seguidores. As contas de mídia social estão repletas do que a Kaspersky descreveu como gráficos atraentes com temas religiosos, projetados para chamar a atenção dos membros do grupo religioso visado. As contas muitas vezes também contêm um link para um canal do Telegram que oferece um aplicativo VPN gratuito para usuários que desejam acessar sites que contenham materiais religiosos proibidos.

De acordo com Kaspersky, os atores da ameaça até configuraram sua própria infraestrutura VPN para tornar o aplicativo totalmente funcional. Mas quando um usuário baixa e usa o SandStrike, ele coleta e exfiltra silenciosamente dados confidenciais associados ao proprietário do dispositivo infectado.

A campanha é apenas a mais recente de uma lista crescente de esforços de espionagem envolvendo infraestrutura avançada e spyware móvel – uma arena que inclui ameaças bem conhecidas, como o notório spyware Pegasus do Grupo NSO. junto com problemas emergentes como Hermit.

Malware móvel em ascensão

O aplicativo SandStrike VPN com armadilha é um exemplo da crescente variedade de ferramentas de malware implantadas em dispositivos móveis. A pesquisa lançada pela Proofpoint no início deste ano destacou uma Aumento de 500% nas tentativas de entrega de malware móvel na Europa no primeiro trimestre deste ano. O aumento seguiu-se a um declínio acentuado nos volumes de ataques no final de 2021.

O fornecedor de segurança de e-mail descobriu que muitas das novas ferramentas de malware são capazes de muito mais do que apenas roubo de credenciais: “Detecções recentes envolveram malware capaz de gravar áudio e vídeo telefônico e não telefônico, rastrear localização e destruir ou apagar conteúdo e dados .”

As lojas oficiais de aplicativos móveis do Google e da Apple continuam a ser um vetor popular de entrega de malware móvel. Mas os agentes de ameaças também estão usando cada vez mais campanhas de phishing baseadas em SMS e golpes de engenharia social, como os vistos na campanha SandStrike, para fazer com que os usuários instalem malware em seus dispositivos móveis.

A Proofpoint também descobriu que os invasores têm como alvo os dispositivos Android com muito mais intensidade do que os dispositivos iOS. Um grande motivo é que o iOS não permite que os usuários instalem um aplicativo por meio de uma loja de aplicativos não oficial de terceiros ou baixem-no diretamente para o dispositivo, como o Android faz, disse a Proofpoint.

Diferentes tipos de malware móvel em circulação

A Proofpoint identificou as ameaças de malware móvel mais significativas como FluBot, TeaBot, TangleBot, MoqHao e BRATA. Os diferentes recursos integrados a essas ferramentas de malware incluem roubo de dados e credenciais, roubo de fundos de contas on-line e roubo de dados em geral. espionagem e vigilância. Uma dessas ameaças – FluBot – tem permanecido praticamente silenciosa desde o interrupção de sua infraestrutura numa acção coordenada de aplicação da lei em Junho.

A Proofpoint descobriu que o malware móvel não está confinado a uma região ou idioma específico. “Em vez disso, os agentes de ameaças adaptam as suas campanhas a uma variedade de idiomas, regiões e dispositivos”, alertou a empresa.

Enquanto isso, a Kaspersky disse que bloqueou cerca de 5.5 milhões de ataques de malware, adware e riskware direcionados a dispositivos móveis no segundo trimestre de 2. Mais de 2022% desses ataques envolveram adware, tornando-o a ameaça móvel mais comum no momento. Mas outras ameaças notáveis ​​incluíam Trojans bancários móveis, ferramentas de ransomware móvel, link de spyware SandStrike e downloaders de malware. A Kaspersky descobriu que os criadores de alguns aplicativos móveis maliciosos têm cada vez mais como alvo usuários de vários países ao mesmo tempo.

A tendência do malware móvel representa uma ameaça crescente para as organizações empresariais, especialmente aquelas que permitem dispositivos não gerenciados e de propriedade pessoal no local de trabalho. No ano passado, a Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA) divulgou um lista de verificação de ações que as organizações podem adotar para enfrentar essas ameaças. Suas recomendações incluem a necessidade de as organizações implementarem o gerenciamento de dispositivos móveis com foco na segurança; garantir que apenas dispositivos confiáveis ​​tenham acesso a aplicativos e dados; usar autenticação forte; desabilitar o acesso a lojas de aplicativos de terceiros; e para garantir que os usuários usem apenas lojas de aplicativos selecionadas.