Campanie de spionaj StrongPity care vizează utilizatorii Android

Cercetătorii ESET au identificat o campanie activă pe care am atribuit-o grupului StrongPity APT. Activă din noiembrie 2021, campania a distribuit o aplicație rău intenționată printr-un site web care uzurpă identitatea lui Shagle – un serviciu de chat video aleatoriu care oferă comunicații criptate între străini. Spre deosebire de site-ul Shagle, bazat în întregime pe web, care nu oferă o aplicație mobilă oficială pentru a-și accesa serviciile, site-ul copycat oferă doar o aplicație Android de descărcat și nu este posibilă transmiterea în flux pe web.

Aplicația rău intenționată este, de fapt, o versiune complet funcțională, dar troianizată a aplicației legitime Telegram, totuși prezentată ca aplicația Shagle inexistentă. Ne vom referi la ea ca aplicația Shagle falsă, aplicația Telegram troianizată sau ușa din spate StrongPity în restul acestei postări pe blog. Produsele ESET detectează această amenințare ca Android/StrongPity.A.

Această ușă din spate StrongPity are diverse funcții de spionaj: cele 11 module declanșate dinamic sunt responsabile pentru înregistrarea apelurilor telefonice, colectarea mesajelor SMS, liste de jurnalele de apeluri, liste de contacte și multe altele. Aceste module sunt documentate pentru prima dată. Dacă victima acordă servicii de accesibilitate a aplicației rău intenționate StrongPity, unul dintre modulele sale va avea, de asemenea, acces la notificările primite și va putea exfiltra comunicarea din 17 aplicații precum Viber, Skype, Gmail, Messenger și Tinder.

Campania este probabil vizată foarte îngust, deoarece telemetria ESET încă nu identifică nicio victimă. În timpul cercetării noastre, versiunea analizată de malware disponibilă pe site-ul copycat nu a mai fost activă și nu a mai fost posibil să o instalăm cu succes și să declanșăm funcționalitatea backdoor, deoarece StrongPity nu și-a obținut propriul ID API pentru aplicația sa troianizată Telegram. Dar acest lucru s-ar putea schimba în orice moment dacă actorul amenințării decide să actualizeze aplicația rău intenționată.

Descriere

Această campanie StrongPity se concentrează în jurul unei uși din spate Android livrate de pe un domeniu care conține cuvântul „olandez”. Acest site web uzurpă identitatea serviciului legitim numit Shagle la shagle.com. În Figura 1 puteți vedea paginile de pornire ale ambelor site-uri web. Aplicația rău intenționată este furnizată direct de pe site-ul de uzurpare a identității și nu a fost niciodată disponibilă din magazinul Google Play. Este o versiune troianizată a aplicației legitime Telegram, prezentată ca și cum ar fi aplicația Shagle, deși în prezent nu există o aplicație oficială pentru Android Shagle.

După cum puteți vedea în Figura 2, codul HTML al site-ului fals include dovezi că a fost copiat de pe site-ul legitim. shagle.com site pe 1 noiembrie^st, 2021, folosind instrumentul automat HTTrack. Domeniul rău intenționat a fost înregistrat în aceeași zi, astfel încât site-ul copycat și aplicația falsă Shagle ar fi putut fi disponibile pentru descărcare de la acea dată.

victimologie

Pe iulie 18^th, 2022, una dintre regulile noastre YARA la VirusTotal a fost declanșată atunci când o aplicație rău intenționată și un link către un site web imita shagle.com au fost încărcate. În același timp, am fost anunțați Twitter despre acea mostră, deși a fost greșit atribuit lui Bahamut. Datele de telemetrie ESET încă nu identifică nicio victimă, ceea ce sugerează că este posibil ca campania să fi fost vizată îndeaproape.

atribuire

APK-ul distribuit de site-ul web copycat Shagle este semnat cu același certificat de semnare a codului (vezi Figura 3) ca o aplicație e-gov siriană troianizată, descoperită în 2021 de Trend Micro, care a fost atribuit și lui StrongPity.

Cod rău intenționat din aplicația falsă Shagle a fost văzut în campania anterioară pentru mobil de către StrongPity și implementează o ușă din spate simplă, dar funcțională. Am văzut că acest cod este folosit doar în campaniile desfășurate de StrongPity. În Figura 4, puteți vedea unele dintre clasele rău intenționate adăugate, cu multe dintre nume ofuscate fiind chiar aceleași în codul ambelor campanii.

Comparând codul backdoor din această campanie cu cel din aplicația e-gov siriană troianizată (SHA-1: 5A5910C2C9180382FCF7A939E9909044F0E8918B), are o funcționalitate extinsă, dar același cod este folosit pentru a furniza funcții similare. În Figura 5 și Figura 6 puteți compara codul din ambele mostre care este responsabil pentru trimiterea de mesaje între componente. Aceste mesaje sunt responsabile pentru declanșarea comportamentului rău intenționat al ușii din spate. Prin urmare, credem cu tărie că aplicația falsă Shagle este legată de grupul StrongPity.

Analiza tehnica

Acces inițial

După cum este descris în secțiunea Prezentare generală a acestei postări pe blog, aplicația falsă Shagle a fost găzduită pe site-ul web Shagle copycat, de pe care victimele trebuiau să aleagă să descarce și să instaleze aplicația. Nu a existat niciun subterfugiu care să sugereze că aplicația era disponibilă de pe Google Play și nu știm cum au fost atrase potențialele victime spre site-ul fals sau descoperite în alt mod.

Set de scule

Conform descrierii de pe site-ul web copycat, aplicația este gratuită și este destinată să fie folosită pentru a întâlni și discuta cu oameni noi. Cu toate acestea, aplicația descărcată este o aplicație Telegram corectată în mod rău intenționat, în special versiunea Telegram 7.5.0 (22467), care a fost disponibilă pentru descărcare în jurul datei de 25 februarie.^th, 2022.

Versiunea reambalată a Telegramului folosește același nume de pachet ca și aplicația Telegram legitimă. Numele pachetelor ar trebui să fie ID-uri unice pentru fiecare aplicație Android și trebuie să fie unice pe orice dispozitiv dat. Aceasta înseamnă că, dacă aplicația oficială Telegram este deja instalată pe dispozitivul unei potențiale victime, atunci această versiune backdoor nu poate fi instalată; vezi Figura 7. Acest lucru ar putea însemna unul dintre două lucruri – fie actorul amenințării comunică mai întâi cu potențialele victime și le împinge să dezinstaleze Telegram de pe dispozitivele lor dacă este instalat, fie campania se concentrează pe țările în care utilizarea Telegramului este rară pentru comunicare.

Aplicația Telegram troianizată a StrongPity ar fi trebuit să funcționeze la fel ca versiunea oficială pentru comunicare, folosind API-uri standard care sunt bine documentate pe site-ul Telegram – dar aplicația nu mai funcționează, așa că nu putem verifica.

În timpul cercetării noastre, versiunea actuală de malware disponibilă pe site-ul copycat nu a mai fost activă și nu a mai fost posibilă instalarea cu succes și declanșarea funcționalității sale backdoor. Când am încercat să ne înscriem folosind numărul nostru de telefon, aplicația Telegram reambalată nu a putut obține ID-ul API de la server și, prin urmare, nu a funcționat corect. După cum se vede în Figura 8, aplicația a afișat un API_ID_PUBLISHED_FLOOD eroare.

Bazat pe Telegram documentație de eroare, se pare că StrongPity nu și-a obținut propriul ID API. În schimb, a folosit exemplul de ID API inclus în codul open-source al Telegram în scopuri de testare inițială. Telegram monitorizează utilizarea ID-ului API și limitează exemplul de ID API, astfel încât utilizarea sa într-o aplicație lansată are ca rezultat eroarea observată în Figura 8. Din cauza erorii, nu mai este posibil să vă înregistrați și să utilizați aplicația sau să declanșați funcționalitatea ei rău intenționată. . Acest lucru ar putea însemna că operatorii StrongPity nu au gândit bine acest lucru sau poate că a existat suficient timp pentru a spiona victimele între publicarea aplicației și dezactivarea acesteia de Telegram pentru utilizarea excesivă a ID-ului APP. Deoarece nicio versiune nouă și funcțională a aplicației nu a fost disponibilă vreodată prin intermediul site-ului web, s-ar putea sugera că StrongPity a implementat cu succes malware-ul către țintele dorite.

Ca urmare, aplicația falsă Shagle disponibilă pe site-ul web fals la momentul cercetării noastre nu mai era activă. Cu toate acestea, acest lucru se poate schimba oricând în cazul în care actorii amenințărilor decid să actualizeze aplicația rău intenționată.

Componentele și permisiunile cerute de codul backdoor StrongPity sunt atașate la aplicația Telegram. AndroidManifest.xml fişier. După cum se poate vedea în Figura 9, acest lucru face ușor să vedeți ce permisiuni sunt necesare pentru malware.

Din manifestul Android putem vedea că au fost adăugate clase rău intenționate în org.telegram.messenger pachetul să apară ca parte a aplicației originale.

Funcționalitatea inițială rău intenționată este declanșată de unul dintre cele trei receptoare de difuzare care sunt executate după acțiuni definite - BOOT_COMPLETED, BATERIE DESCĂRCATĂ, Sau USER_PRESENT. După prima pornire, înregistrează în mod dinamic receptori de transmisie suplimentari pentru monitorizare SCREEN_ON, ECRAN INCHIS, și CONNECTIVITY_CHANGE evenimente. Aplicația falsă Shagle utilizează apoi IPC (comunicare interproces) pentru a comunica între componentele sale pentru a declanșa diverse acțiuni. Acesta contactează serverul C&C folosind HTTPS pentru a trimite informații de bază despre dispozitivul compromis și primește un fișier criptat AES care conține 11 module binare care vor fi executate dinamic de aplicația părinte; vezi Figura 10. După cum se vede în Figura 11, aceste module sunt stocate în memoria internă a aplicației, /data/user/0/org.telegram.messenger/files/.li/.

Fiecare modul este responsabil pentru diferite funcționalități. Lista numelor modulelor este stocată în preferințele locale partajate în sharedconfig.xml fişier; vezi Figura 12.

Modulele sunt declanșate dinamic de aplicația părinte ori de câte ori este necesar. Fiecare modul are propriul nume de modul și este responsabil pentru diferite funcționalități, cum ar fi:

• libarm.jar (modul cm) – înregistrează apelurile telefonice
• libmpeg4.jar (modul nt) – colectează textul mesajelor de notificare primite de la 17 aplicații
• local.jar (modul fm/fp) – colectează lista de fișiere (arborele de fișiere) de pe dispozitiv
• telefon.jar (modul ms) – folosește greșit serviciile de accesibilitate pentru a spiona aplicațiile de mesagerie prin exfiltrarea numelui contactului, a mesajului de chat și a datei
• resurse.jar (modul sm) – colectează mesajele SMS stocate pe dispozitiv
• servicii.jar (lo module) – obține locația dispozitivului
• systemui.jar (modul sy) – colectează informații despre dispozitiv și sistem
• cronometru.borcan (modul ia) – colectează o listă de aplicații instalate
• trusa de instrumente.jar (modul cn) – colectează lista de contacte
• trusa de ceas.jar (modul ac) – colectează o listă de conturi de dispozitiv
• wearkit.bor (modul cl) – colectează o listă de jurnalele de apeluri

Toate datele obținute sunt stocate în clear in /data/user/0/org.telegram.messenger/databases/outdata, înainte de a fi criptat folosind AES și trimis la serverul C&C, după cum puteți vedea în Figura 13.

Această ușă din spate StrongPity are funcții de spionaj extinse în comparație cu prima versiune StrongPity descoperită pentru mobil. Poate solicita victimei să activeze serviciile de accesibilitate și să obțină acces la notificări; vezi Figura 14. Dacă victima le activează, malware-ul va spiona notificările primite și va folosi greșit serviciile de accesibilitate pentru a exfiltra comunicarea prin chat din alte aplicații.

Figura 14. Solicitări de malware, de la victimă, acces la notificări și servicii de accesibilitate

Cu acces la notificări, malware-ul poate citi mesajele de notificare primite de la 17 aplicații vizate. Iată o listă cu numele pachetelor lor:

• Messenger (com.facebook.orca)
• Messenger Lite (com.facebook.mlite)
• Viber – Chat și apeluri sigure (com.viber.voip)
• Skype (com.skype.raider)
• LINE: Apeluri și Mesaje (jp.naver.line.android)
• Kik — Aplicație de mesagerie și chat (kik.android)
• tango-stream live și video chat (com.sgiggle.production)
• Hangouts (com.google.android.talk)
• Telegramă (org.telegram.messenger)
• WeChat (com.tencent.mm)
• Snapchat (com.snapchat.android)
• Tinder (com.tinder)
• Noutăți și conținut de drumeție (com.bsb.hike)
• instagram (com.instagram.android)
• Twitter (com.twitter.android)
• Gmail (com.google.android.gm)
• imo-Apeluri internaționale și chat (com.imo.android.imoim)

Dacă dispozitivul este deja rootat, malware-ul încearcă în tăcere să acorde permisiuni WRITE_SETTINGS, WRITE_SECURE_SETTINGS, REBOOT, MOUNT_FORMAT_FILESYSTEMS, MODIFY_PHONE_STATE, PACKAGE_USAGE_STATS, READ_PRIVILEGED_PHONE_STATE, pentru a activa serviciile de accesibilitate și pentru a acorda acces la notificări. Ușa din spate StrongPity încearcă apoi să dezactiveze aplicația SecurityLogAgent (com.samsung.android.securitylogagent), care este o aplicație oficială de sistem care ajută la protejarea securității dispozitivelor Samsung și dezactivează toate notificările aplicației care provin de la programul malware însuși care ar putea fi afișate victimei în viitor în cazul erorilor aplicației, blocărilor sau avertismentelor. Ușa din spate StrongPity nu încearcă în sine să rooteze un dispozitiv.

Algoritmul AES folosește modul CBC și chei hardcoded pentru a decripta modulele descărcate:

• Tasta AES - aaaanothingimpossiblebbb
• AES IV – aaaanothingimpos

Concluzie

Campania mobilă operată de grupul StrongPity APT a uzurpat identitatea unui serviciu legitim pentru a-și distribui backdoor-ul Android. StrongPity a reambalat aplicația oficială Telegram pentru a include o variantă a codului backdoor al grupului.

Codul rău intenționat, funcționalitatea sa, numele claselor și certificatul folosit pentru a semna fișierul APK sunt aceleași ca din campania anterioară; astfel credem cu mare încredere că această operațiune aparține grupului StrongPity.

La momentul cercetării noastre, eșantionul care era disponibil pe site-ul copycat a fost dezactivat din cauza API_ID_PUBLISHED_FLOOD eroare, care are ca rezultat nedeclanșarea unui cod rău intenționat și posibil ca victimele potențiale să elimine aplicația care nu funcționează de pe dispozitivele lor.

Analiza codului arată că ușa din spate este modulară și module binare suplimentare sunt descărcate de pe serverul C&C. Aceasta înseamnă că numărul și tipul de module utilizate pot fi modificate în orice moment pentru a se potrivi cu solicitările campaniei atunci când sunt operate de grupul StrongPity.

Pe baza analizei noastre, aceasta pare a fi a doua versiune a programului malware Android al StrongPity; comparativ cu prima sa versiune, folosește greșit serviciile de accesibilitate și accesul la notificări, stochează datele colectate într-o bază de date locală, încearcă să execute su comenzi și pentru cea mai mare parte a colectării de date utilizează module descărcate.

IoC-uri

Fişiere

SHA-1	Nume de fișier	Nume de detectare ESET	Descriere
50F79C7DFABECF04522AEB2AC987A800AB5EC6D7	video.apk	Android/StrongPity.A	StrongPity backdoor (aplicație Android Telegram legitimă reambalată cu cod rău intenționat).
77D6FE30DAC41E1C90BDFAE3F1CFE7091513FB91	libarm.jar	Android/StrongPity.A	Modulul mobil StrongPity responsabil cu înregistrarea apelurilor telefonice.
5A15F516D5C58B23E19D6A39325B4B5C5590BDE0	libmpeg4.jar	Android/StrongPity.A	Modulul mobil StrongPity responsabil cu colectarea textului notificărilor primite.
D44818C061269930E50868445A3418A0780903FE	local.jar	Android/StrongPity.A	Modulul mobil StrongPity responsabil cu colectarea unei liste de fișiere pe dispozitiv.
F1A14070D5D50D5A9952F9A0B4F7CA7FED2199EE	telefon.jar	Android/StrongPity.A	Modulul mobil StrongPity responsabil pentru utilizarea greșită a serviciilor de accesibilitate pentru a spiona alte aplicații.
3BFAD08B9AC63AF5ECF9AA59265ED24D0C76D91E	resurse.jar	Android/StrongPity.A	Modulul mobil StrongPity responsabil cu colectarea mesajelor SMS stocate pe dispozitiv.
5127E75A8FAF1A92D5BD0029AF21548AFA06C1B7	servicii.jar	Android/StrongPity.A	Modulul mobil StrongPity responsabil pentru obținerea locației dispozitivului.
BD40DF3AD0CE0E91ACCA9488A2FE5FEEFE6648A0	systemui.jar	Android/StrongPity.A	Modulul mobil StrongPity responsabil cu colectarea informațiilor despre dispozitiv și sistem.
ED02E16F0D57E4AD2D58F95E88356C17D6396658	cronometru.borcan	Android/StrongPity.A	Modulul mobil StrongPity responsabil cu colectarea unei liste de aplicații instalate.
F754874A76E3B75A5A5C7FE849DDAE318946973B	trusa de instrumente.jar	Android/StrongPity.A	Modulul mobil StrongPity responsabil cu colectarea listei de contacte.
E46B76CADBD7261FE750DBB9B0A82F262AFEB298	trusa de ceas.jar	Android/StrongPity.A	Modulul mobil StrongPity responsabil cu colectarea unei liste de conturi de dispozitiv.
D9A71B13D3061BE12EE4905647DDC2F1189F00DE	wearkit.bor	Android/StrongPity.A	Modulul mobil StrongPity responsabil cu colectarea unei liste de jurnalele de apeluri.

Reţea

IP	Furnizor de	Prima dată văzut	Detalii
141.255.161[.]185	NameCheap	2022-07-28	intagrefedcircuitchip[.]com C&C
185.12.46[.]138	Chiflă de porc	2020-04-21	networksoftwaresegment[.]com C&C

Tehnici MITRE ATT&CK

Acest tabel a fost construit folosind Versiunea 12 din cadrul MITRE ATT&CK.

tactică	ID	Nume si Prenume	Descriere
Persistență	T1398	Scripturi de inițializare de pornire sau de conectare	Ușa din spate StrongPity primește BOOT_COMPLETED intenția de difuzare de a se activa la pornirea dispozitivului.
	T1624.001	Execuție declanșată de eveniment: Receptoare de difuzare	Funcționalitatea backdoor StrongPity este declanșată dacă are loc unul dintre aceste evenimente: BATERIE DESCĂRCATĂ, USER_PRESENT, SCREEN_ON, ECRAN INCHIS, Sau CONNECTIVITY_CHANGE.
Evaziunea apărării	T1407	Descărcați codul nou în timpul execuției	StrongPity backdoor poate descărca și executa module binare suplimentare.
	T1406	Fișiere sau informații ofucate	Ușa din spate StrongPity folosește criptarea AES pentru a ofusca modulele descărcate și pentru a ascunde șirurile din APK-ul său.
	T1628.002	Ascunde artefacte: Evaziunea utilizatorului	Ușa din spate StrongPity poate dezactiva toate notificările aplicației care provin de la malware-ul însuși pentru a ascunde prezența acestuia.
	T1629.003	Deteriorarea apărărilor: dezactivați sau modificați instrumentele	Dacă backdoorul StrongPity are root, acesta dezactivează SecurityLogAgent (com.samsung.android.securitylogagent) daca prezentul.
Descoperire	T1420	Descoperirea fișierelor și a directorului	Ușa din spate StrongPity poate lista fișierele disponibile pe stocarea externă.
	T1418	Descoperire software	StrongPity backdoor poate obține o listă de aplicații instalate.
	T1422	Descoperirea configurației rețelei sistemului	Ușa din spate StrongPity poate extrage IMEI, IMSI, adresa IP, numărul de telefon și țara.
	T1426	Descoperirea informațiilor de sistem	Ușa din spate StrongPity poate extrage informații despre dispozitiv, inclusiv tipul de conexiune la internet, numărul de serie SIM, ID-ul dispozitivului și informații comune despre sistem.
Colectie	T1417.001	Captură de intrare: înregistrarea tastelor	Ușa din spate StrongPity înregistrează apăsările de taste din mesajele de chat și datele apelurilor din aplicațiile vizate.
	T1517	Notificări de acces	Ușa din spate StrongPity poate colecta mesaje de notificare de la 17 aplicații vizate.
	T1532	Arhivați datele colectate	Ușa din spate StrongPity criptează datele exfiltrate folosind AES.
	T1430	Urmărirea locației	Ușa din spate StrongPity urmărește locația dispozitivului.
	T1429	Captură audio	Ușa din spate StrongPity poate înregistra apeluri telefonice.
	T1513	Captură de ecran	Ușa din spate StrongPity poate înregistra ecranul dispozitivului folosind MediaProjectionManager API-ul.
	T1636.002	Date protejate ale utilizatorului: jurnalele de apeluri	Ușa din spate StrongPity poate extrage jurnalele de apeluri.
	T1636.003	Date protejate ale utilizatorului: Lista de contacte	Ușa din spate StrongPity poate extrage lista de contacte a dispozitivului.
	T1636.004	Date protejate de utilizator: Mesaje SMS	Ușa din spate StrongPity poate extrage mesaje SMS.
Comandă și Control	T1437.001	Protocolul stratului de aplicație: protocoale web	Ușa din spate StrongPity folosește HTTPS pentru a comunica cu serverul său C&C.
	T1521.001	Canal criptat: Criptografie simetrică	Ușa din spate StrongPity folosește AES pentru a-și cripta comunicarea.
Exfiltrarea	T1646	Exfiltrare peste canalul C2	Ușa din spate StrongPity exfiltrează datele folosind HTTPS.

• Distribuție de conținut bazat pe SEO și PR. Amplifică-te astăzi.
• Platoblockchain. Web3 Metaverse Intelligence. Cunoștințe amplificate. Accesați Aici.
• Sursa: https://www.welivesecurity.com/2023/01/10/strongpity-espionage-campaign-targeting-android-users/