Campanha de espionagem StrongPity visando usuários do Android

Os pesquisadores da ESET identificaram uma campanha ativa que atribuímos ao grupo StrongPity APT. Ativa desde novembro de 2021, a campanha distribuiu um aplicativo malicioso por meio de um site que se faz passar por Shagle – um serviço de bate-papo por vídeo aleatório que fornece comunicações criptografadas entre estranhos. Ao contrário do site Shagle genuíno totalmente baseado na web que não oferece um aplicativo móvel oficial para acessar seus serviços, o site imitador fornece apenas um aplicativo Android para download e nenhum streaming baseado na web é possível.

O aplicativo malicioso é, na verdade, uma versão totalmente funcional, mas trojanizada, do aplicativo legítimo do Telegram, no entanto, apresentado como o aplicativo Shagle inexistente. Vamos nos referir a ele como o falso aplicativo Shagle, o aplicativo trojanizado do Telegram ou o backdoor do StrongPity no restante deste blogpost. Os produtos ESET detectam essa ameaça como Android/StrongPity.A.

Este backdoor do StrongPity possui vários recursos de espionagem: seus 11 módulos acionados dinamicamente são responsáveis ​​por gravar chamadas telefônicas, coletar mensagens SMS, listas de registros de chamadas, listas de contatos e muito mais. Esses módulos estão sendo documentados pela primeira vez. Se a vítima conceder os serviços de acessibilidade do aplicativo malicioso StrongPity, um de seus módulos também terá acesso às notificações recebidas e poderá exfiltrar a comunicação de 17 aplicativos, como Viber, Skype, Gmail, Messenger e Tinder.

A campanha provavelmente tem um alvo muito restrito, já que a telemetria da ESET ainda não identifica nenhuma vítima. Durante nossa pesquisa, a versão analisada do malware disponível no site do imitador não estava mais ativa e não foi mais possível instalá-lo com sucesso e acionar sua funcionalidade backdoor porque o StrongPity não obteve seu próprio ID de API para seu aplicativo Telegram trojanizado. Mas isso pode mudar a qualquer momento, caso o agente da ameaça decida atualizar o aplicativo malicioso.

Visão geral

Esta campanha StrongPity gira em torno de um backdoor do Android entregue a partir de um domínio contendo a palavra “holandês”. Este site representa o serviço legítimo chamado Shagle em shagle. com. Na Figura 1 você pode ver as páginas iniciais de ambos os sites. O aplicativo malicioso é fornecido diretamente do site da personificação e nunca foi disponibilizado na Google Play Store. É uma versão trojanizada do aplicativo legítimo do Telegram, apresentado como se fosse o aplicativo Shagle, embora atualmente não exista um aplicativo Shagle oficial para Android.

Como você pode ver na Figura 2, o código HTML do site falso inclui evidências de que ele foi copiado do site legítimo shagle. com site em 1 de novembro^st, 2021, usando a ferramenta automatizada HTTrack. O domínio malicioso foi registrado no mesmo dia, portanto, o site imitador e o falso aplicativo Shagle podem estar disponíveis para download desde essa data.

Vitimologia

No dia 18 julho^th, 2022, uma de nossas regras YARA no VirusTotal foi acionada quando um aplicativo malicioso e um link para um site que imitava shagle. com foram carregados. Ao mesmo tempo, fomos notificados em Twitter sobre essa amostra, embora tenha sido erroneamente atribuído a Bahamut. Os dados de telemetria da ESET ainda não identificam nenhuma vítima, sugerindo que a campanha provavelmente teve um alvo restrito.

Estratégias de Atribuição

O APK distribuído pelo site imitador Shagle é assinado com o mesmo certificado de assinatura de código (veja a Figura 3) de um aplicativo de governo eletrônico sírio trojanizado descoberto em 2021 por Trend Micro, que também foi atribuído a StrongPity.

O código malicioso no aplicativo Shagle falso foi visto na campanha móvel anterior da StrongPity e implementa um backdoor simples, mas funcional. Vimos esse código sendo usado apenas em campanhas realizadas pela StrongPity. Na Figura 4, você pode ver algumas das classes maliciosas adicionadas com muitos dos nomes ofuscados, mesmo sendo os mesmos no código de ambas as campanhas.

Comparando o código backdoor desta campanha com o do aplicativo trojanizado de e-gov sírio (SHA-1: 5A5910C2C9180382FCF7A939E9909044F0E8918B), ele possui funcionalidade estendida, mas com o mesmo código sendo usado para fornecer funções semelhantes. Na Figura 5 e na Figura 6 você pode comparar o código de ambos os exemplos que é responsável por enviar mensagens entre os componentes. Essas mensagens são responsáveis ​​por desencadear o comportamento malicioso do backdoor. Portanto, acreditamos fortemente que o falso aplicativo Shagle está vinculado ao grupo StrongPity.

Análise técnica

Acesso inicial

Conforme descrito na seção Visão geral desta postagem do blog, o aplicativo Shagle falso foi hospedado no site imitador do Shagle, no qual as vítimas tinham que escolher baixar e instalar o aplicativo. Não houve nenhum subterfúgio sugerindo que o aplicativo estava disponível no Google Play e não sabemos como as vítimas em potencial foram atraídas ou descobertas de outra forma no site falso.

Toolset

De acordo com a descrição no site do copycat, o aplicativo é gratuito e destina-se a ser usado para conhecer e conversar com novas pessoas. No entanto, o aplicativo baixado é um aplicativo Telegram com patch malicioso, especificamente o Telegram versão 7.5.0 (22467), que estava disponível para download por volta de 25 de fevereiro.^th 2022.

A versão repaginada do Telegram usa o mesmo nome de pacote do aplicativo legítimo do Telegram. Os nomes dos pacotes devem ser IDs exclusivos para cada aplicativo Android e devem ser exclusivos em qualquer dispositivo. Isso significa que, se o aplicativo oficial do Telegram já estiver instalado no dispositivo de uma vítima em potencial, essa versão backdoor não poderá ser instalada; veja a Figura 7. Isso pode significar uma de duas coisas – ou o agente da ameaça primeiro se comunica com as vítimas em potencial e as força a desinstalar o Telegram de seus dispositivos, se estiver instalado, ou a campanha se concentra em países onde o uso do Telegram é raro para comunicação.

O aplicativo Telegram trojanizado do StrongPity deveria ter funcionado exatamente como a versão oficial para comunicação, usando APIs padrão que estão bem documentadas no site do Telegram – mas o aplicativo não funciona mais, então não podemos verificar.

Durante nossa pesquisa, a versão atual do malware disponível no site do imitador não estava mais ativa e não era mais possível instalá-lo com sucesso e acionar sua funcionalidade backdoor. Quando tentamos nos inscrever usando nosso número de telefone, o aplicativo Telegram reembalado não conseguiu obter o ID da API do servidor e, portanto, não funcionou corretamente. Como pode ser visto na Figura 8, o aplicativo exibiu uma API_ID_PUBLISHED_FLOOD erro.

Baseado no Telegram documentação de erro, parece que o StrongPity não obteve seu próprio ID de API. Em vez disso, ele usou o exemplo de ID da API incluído no código-fonte aberto do Telegram para fins de teste inicial. O Telegram monitora o uso do ID da API e limita o ID da API de amostra, portanto, seu uso em um aplicativo lançado resulta no erro visto na Figura 8. Devido ao erro, não é mais possível se inscrever e usar o aplicativo ou acionar sua funcionalidade maliciosa . Isso pode significar que os operadores do StrongPity não pensaram nisso, ou talvez tenha havido tempo suficiente para espionar as vítimas entre a publicação do aplicativo e sua desativação pelo Telegram devido ao uso excessivo do APP ID. Como nenhuma versão nova e funcional do aplicativo foi disponibilizada no site, isso pode sugerir que o StrongPity implantou o malware com sucesso nos alvos desejados.

Como resultado, o aplicativo Shagle falso disponível no site falso no momento de nossa pesquisa não estava mais ativo. No entanto, isso pode mudar a qualquer momento, caso os agentes da ameaça decidam atualizar o aplicativo malicioso.

Os componentes e as permissões exigidas pelo código backdoor StrongPity são anexados ao aplicativo Telegram AndroidManifest.xml Arquivo. Como pode ser visto na Figura 9, fica fácil ver quais permissões são necessárias para o malware.

No manifesto do Android, podemos ver que classes maliciosas foram adicionadas no org.telegram.messenger pacote para aparecer como parte do aplicativo original.

A funcionalidade maliciosa inicial é acionada por um dos três receptores de transmissão que são executados após ações definidas – BOOT_COMPLETED, BATERIA_FRACAou USER_PRESENT. Após a primeira inicialização, ele registra dinamicamente receptores de transmissão adicionais para monitorar TELA LIGADA, TELA APAGADA e CONNECTIVITY_CHANGE eventos. O falso aplicativo Shagle então usa IPC (comunicação entre processos) para se comunicar entre seus componentes para acionar várias ações. Ele contata o servidor C&C usando HTTPS para enviar informações básicas sobre o dispositivo comprometido e recebe um arquivo criptografado em AES contendo 11 módulos binários que serão executados dinamicamente pelo aplicativo pai; veja a Figura 10. Conforme visto na Figura 11, esses módulos são armazenados no armazenamento interno do aplicativo, /data/user/0/org.telegram.messenger/files/.li/.

Cada módulo é responsável por diferentes funcionalidades. A lista dos nomes dos módulos é armazenada nas preferências compartilhadas locais no sharedconfig.xml Arquivo; veja a Figura 12.

Os módulos são acionados dinamicamente pelo aplicativo pai sempre que necessário. Cada módulo tem seu próprio nome de módulo e é responsável por diferentes funcionalidades, como:

• libarm.jar (módulo cm) – grava chamadas telefônicas
• libmpeg4.jar (módulo nt) – coleta texto de mensagens de notificação recebidas de 17 aplicativos
• local.jar (módulo fm/fp) – coleta a lista de arquivos (árvore de arquivos) no dispositivo
• telefone.jar (módulo ms) – utiliza indevidamente os serviços de acessibilidade para espionar aplicativos de mensagens, exfiltrando nome de contato, mensagem de bate-papo e data
• recursos.jar (módulo sm) – coleta mensagens SMS armazenadas no dispositivo
• serviços.jar (módulo lo) – obtém a localização do dispositivo
• systemui.jar (módulo sy) – coleta informações do dispositivo e do sistema
• temporizador.jar (módulo ia) – coleta uma lista de aplicativos instalados
• kit de ferramentas.jar (módulo cn) – coleta lista de contatos
• watchkit.jar (módulo ac) – coleta uma lista de contas de dispositivos
• wearkit.jar (módulo cl) – coleta uma lista de registros de chamadas

Todos os dados obtidos são armazenados em claro em /data/user/0/org.telegram.messenger/databases/outdata, antes de serem criptografados usando AES e enviados para o servidor C&C, como você pode ver na Figura 13.

Este backdoor do StrongPity estendeu os recursos de espionagem em comparação com a primeira versão do StrongPity descoberta para dispositivos móveis. Ele pode solicitar que a vítima ative os serviços de acessibilidade e obtenha acesso à notificação; veja a Figura 14. Se a vítima os habilitar, o malware irá espionar as notificações recebidas e usar indevidamente os serviços de acessibilidade para exfiltrar a comunicação de bate-papo de outros aplicativos.

Figura 14. Solicitações de malware, da vítima, acesso à notificação e serviços de acessibilidade

Com acesso à notificação, o malware pode ler as mensagens de notificação recebidas de 17 aplicativos direcionados. Aqui está uma lista de seus nomes de pacote:

• Mensageiro (com.facebook.orca)
• Mensageiro Lite (com.facebook.mlite)
• Viber – Bate-papos e chamadas seguras (com.viber.voip)
• skype (com.skype.raider)
• LINHA: Chamadas e mensagens (jp.naver.line.android)
• Kik — Aplicativo de mensagens e bate-papo (kik.android)
• transmissão ao vivo de tango e bate-papo por vídeo (com.sgiggle.produção)
• Pontos de encontro (com.google.android.talk)
• Telegrama (org.telegram.messenger)
• WeChat (com.tencent.mm)
• Snapchat (com.snapchat.android)
• Inflamável (com.tinder)
• Notícias e conteúdo da Hike (com.bsb.hike)
• Instagram (com.instagram.android)
• Twitter (com.twitter.android)
• Gmail (com.google.android.gm)
• imo-International Calls & Chat (com.imo.android.imoim)

Se o dispositivo já estiver enraizado, o malware tentará silenciosamente conceder permissões para WRITE_SETTINGS, WRITE_SECURE_SETTINGS, REBOOT, MOUNT_FORMAT_FILESYSTEMS, MODIFY_PHONE_STATE, PACKAGE_USAGE_STATS, READ_PRIVILEGED_PHONE_STATE, para habilitar serviços de acessibilidade e conceder acesso à notificação. O backdoor StrongPity então tenta desabilitar o aplicativo SecurityLogAgent (com.samsung.android.securitylogagent), que é um aplicativo oficial do sistema que ajuda a proteger a segurança dos dispositivos Samsung e desativa todas as notificações de aplicativos provenientes do próprio malware que podem ser exibidas à vítima no futuro em caso de erros, falhas ou avisos de aplicativos. O backdoor do StrongPity não tenta fazer root em um dispositivo.

O algoritmo AES usa o modo CBC e chaves codificadas para descriptografar os módulos baixados:

• chave AES - aaaa nada impossível bbb
• AES IV – aaaaanothingimpos

Conclusão

A campanha móvel operada pelo grupo StrongPity APT personificou um serviço legítimo para distribuir seu backdoor Android. StrongPity reformulou o aplicativo oficial do Telegram para incluir uma variante do código backdoor do grupo.

Esse código malicioso, sua funcionalidade, nomes de classes e o certificado usado para assinar o arquivo APK são os mesmos da campanha anterior; assim, acreditamos com grande confiança que esta operação pertence ao grupo StrongPity.

No momento de nossa pesquisa, a amostra que estava disponível no site do imitador foi desativada devido ao API_ID_PUBLISHED_FLOOD erro, que faz com que o código malicioso não seja acionado e as vítimas em potencial possivelmente removam o aplicativo que não funciona de seus dispositivos.

A análise do código revela que o backdoor é modular e módulos binários adicionais são baixados do servidor C&C. Isso significa que o número e o tipo de módulos utilizados podem ser alterados a qualquer momento para atender às solicitações da campanha quando operada pelo grupo StrongPity.

Com base em nossa análise, esta parece ser a segunda versão do malware Android do StrongPity; em comparação com sua primeira versão, ele também faz uso indevido de serviços de acessibilidade e acesso a notificações, armazena os dados coletados em um banco de dados local, tenta executar su comandos e, para a maior parte da coleta de dados, usa módulos baixados.

IoCs

Arquivos

SHA-1	Nome do arquivo	nome de detecção ESET	Descrição
50F79C7DFABECF04522AEB2AC987A800AB5EC6D7	vídeo.apk	Android/StrongPity.A	Backdoor StrongPity (aplicativo Android Telegram legítimo reembalado com código malicioso).
77D6FE30DAC41E1C90BDFAE3F1CFE7091513FB91	libarm.jar	Android/StrongPity.A	Módulo móvel StrongPity responsável por gravar chamadas telefônicas.
5A15F516D5C58B23E19D6A39325B4B5C5590BDE0	libmpeg4.jar	Android/StrongPity.A	Módulo mobile do StrongPity responsável por coletar o texto das notificações recebidas.
D44818C061269930E50868445A3418A0780903FE	local.jar	Android/StrongPity.A	Módulo móvel StrongPity responsável por coletar uma lista de arquivos no dispositivo.
F1A14070D5D50D5A9952F9A0B4F7CA7FED2199EE	telefone.jar	Android/StrongPity.A	Módulo móvel StrongPity responsável pelo uso indevido de serviços de acessibilidade para espionar outros aplicativos.
3BFAD08B9AC63AF5ECF9AA59265ED24D0C76D91E	recursos.jar	Android/StrongPity.A	Módulo móvel StrongPity responsável por coletar as mensagens SMS armazenadas no dispositivo.
5127E75A8FAF1A92D5BD0029AF21548AFA06C1B7	serviços.jar	Android/StrongPity.A	Módulo móvel StrongPity responsável por obter a localização do dispositivo.
BD40DF3AD0CE0E91ACCA9488A2FE5FEEFE6648A0	systemui.jar	Android/StrongPity.A	Módulo móvel StrongPity responsável por coletar informações do dispositivo e do sistema.
ED02E16F0D57E4AD2D58F95E88356C17D6396658	temporizador.jar	Android/StrongPity.A	Módulo móvel StrongPity responsável por coletar uma lista de aplicativos instalados.
F754874A76E3B75A5A5C7FE849DDAE318946973B	kit de ferramentas.jar	Android/StrongPity.A	Módulo mobile do StrongPity responsável pela coleta da lista de contatos.
E46B76CADBD7261FE750DBB9B0A82F262AFEB298	watchkit.jar	Android/StrongPity.A	Módulo móvel StrongPity responsável por coletar uma lista de contas de dispositivos.
D9A71B13D3061BE12EE4905647DDC2F1189F00DE	wearkit.jar	Android/StrongPity.A	Módulo móvel StrongPity responsável por coletar uma lista de registros de chamadas.

Network

IP	provedor do cliente	Visto pela primeira vez	Adicionar ao carrinho
141.255.161[.]185	NameCheap	2022-07-28	intagrefedcircuitchip[.]com C & C
185.12.46[.]138	Porkbun	2020-04-21	segmento de software de rede[.]com C & C

Técnicas MITER ATT e CK

Esta tabela foi construída usando versão 12 da estrutura MITER ATT & CK.

Tática	ID	Nome	Descrição
Persistência	T1398	Scripts de inicialização de inicialização ou logon	A backdoor do StrongPity recebe o BOOT_COMPLETED intenção de transmissão para ativar na inicialização do dispositivo.
	T1624.001	Execução acionada por evento: Receptores de transmissão	A funcionalidade backdoor do StrongPity é acionada se um destes eventos ocorrer: BATERIA_FRACA, USER_PRESENT, TELA LIGADA, TELA APAGADAou CONNECTIVITY_CHANGE.
Evasão de Defesa	T1407	Baixe o novo código em tempo de execução	O backdoor StrongPity pode baixar e executar módulos binários adicionais.
	T1406	Arquivos ou informações ofuscados	O backdoor do StrongPity usa criptografia AES para ofuscar os módulos baixados e ocultar strings em seu APK.
	T1628.002	Ocultar Artefatos: Evasão do Usuário	O backdoor do StrongPity pode desabilitar todas as notificações de aplicativos provenientes do próprio malware para ocultar sua presença.
	T1629.003	Prejudicar defesas: desabilitar ou modificar ferramentas	Se o backdoor do StrongPity tiver root, ele desabilita o SecurityLogAgent (com.samsung.android.securitylogagent) se presente.
Discovery	T1420	Descoberta de arquivos e diretórios	O backdoor do StrongPity pode listar os arquivos disponíveis no armazenamento externo.
	T1418	Descoberta de software	O backdoor do StrongPity pode obter uma lista de aplicativos instalados.
	T1422	Descoberta de configuração de rede do sistema	O backdoor StrongPity pode extrair IMEI, IMSI, endereço IP, número de telefone e país.
	T1426	Descoberta de informações do sistema	O backdoor do StrongPity pode extrair informações sobre o dispositivo, incluindo tipo de conexão com a Internet, número de série do SIM, ID do dispositivo e informações comuns do sistema.
Coleção	T1417.001	Captura de entrada: Keylogging	O backdoor do StrongPity registra pressionamentos de tecla em mensagens de bate-papo e dados de chamadas de aplicativos direcionados.
	T1517	Notificações de acesso	O backdoor do StrongPity pode coletar mensagens de notificação de 17 aplicativos direcionados.
	T1532	Arquivar dados coletados	O backdoor StrongPity criptografa dados exfiltrados usando AES.
	T1430	Localização Rastreamento	O backdoor do StrongPity rastreia a localização do dispositivo.
	T1429	Captura de áudio	O backdoor StrongPity pode gravar chamadas telefônicas.
	T1513	Screen Capture	O backdoor do StrongPity pode gravar a tela do dispositivo usando o MediaProjectionManager API.
	T1636.002	Dados do usuário protegidos: registros de chamadas	O backdoor do StrongPity pode extrair registros de chamadas.
	T1636.003	Dados do usuário protegidos: lista de contatos	O backdoor do StrongPity pode extrair a lista de contatos do dispositivo.
	T1636.004	Dados do usuário protegidos: mensagens SMS	O backdoor StrongPity pode extrair mensagens SMS.
Comando e controle	T1437.001	Protocolo de camada de aplicativo: protocolos da Web	O backdoor StrongPity usa HTTPS para se comunicar com seu servidor C&C.
	T1521.001	Canal criptografado: criptografia simétrica	O backdoor StrongPity usa AES para criptografar sua comunicação.
exfiltration	T1646	Exfiltração no canal C2	O backdoor StrongPity exfiltra dados usando HTTPS.

• Conteúdo com tecnologia de SEO e distribuição de relações públicas. Seja amplificado hoje.
• Platoblockchain. Inteligência Metaverso Web3. Conhecimento Ampliado. Acesse aqui.
• Fonte: https://www.welivesecurity.com/2023/01/10/strongpity-espionage-campaign-targeting-android-users/