Nazbierané dáta ukladá spyvér do lokálnej databázy a následne posiela na riadiaci server.
- Hackeri infikovali legitímne aplikácie VPN služieb.
- Škodlivý kód šíria cez falošný web.
- Obeť musí dostať od útočníkov aktivačný kód.
- Trójsky kôň vie kradnúť poznámky z aplikácie SafeNotes a aktívne sledovať správy a informácie o hovoroch.
- Odcudzená môže byť aj poloha zariadenia či zoznam súborov na externom disku
Bezpečnostní experti odhalili špionážny malvér zacielený na používateľov operačného systému Android.
Za hrozbou stojí skupina Bahamut a jej operácia trvá od začiatku roka. V mnohých prípadoch útočníci infikovali jednu z dvoch legitímnych aplikácií VPN služieb SoftVPN alebo OpenVPN. Záškodnícka operácia sa javí ako mimoriadne cielená, informovala spoločnosť Eset.
Chráni sa pred očami odborníkov
Škodlivé aplikácie rozširujú kyberkriminálnici cez sfalšovaný web služby SecureVPN. S originálnou službou a softvérom SecureVPN teda stránka nemá nič spoločné.
Výskumníci Esetu identifikovali najmenej osem verzií spyvéru. V oficiálnom obchode s aplikáciami Google Play sa infiltrácie neobjavili.
Za pozornosť stojí, že kompromitovaná aplikácia si vypýta aktivačný kľúč ešte pred povolením VPN a sledovacej funkcionality. Aktivačný kľúč pravdepodobne dostanú iba vytypované obete.
Expert Esetu Lukáš Štefanko vysvetľuje, že to má zabrániť spusteniu škodlivého kódu na zariadeniach osôb, ktoré nie sú v hľadáčiku útočníkov a tiež chrániť ho pred analýzou bezpečnostnými expertmi. Podobnú formu ochrany skupina Bahamut použila už predtým v inej kampani.
Malvér sa vie aktualizovať
Ku kradnutiu dát dochádza cez funkciu na zaznamenávanie stlačení klávesnice, ktorá zneužíva služby dostupnosti – umožňujú používať zariadenie s Androidom bez zraku alebo pomocou zariadenia s prepínačmi.
"Zneužitím služieb dostupnosti dokáže malvér kradnúť poznámky z aplikácie SafeNotes a aktívne sledovať správy a informácie o hovoroch v populárnych aplikáciách ako Facebook Messenger, Viber, Signal, WhatsApp, Telegram, WeChat, Conion či imo-International Calls & Chat," uvádza Eset.
Po povolení sledovacej funkcie dokážu útočníci malvér ovládať na diaľku a získať rôzne citlivé dáta:
- kontakty,
- SMS správy,
- zoznam hovorov,
- zoznam nainštalovaných aplikácií,
- polohu zariadenia,
- počet účtov,
- informácie o zariadení – typ internetového pripojenia, IMEI, IP, sériové číslo SIM karty,
- nahraté hovory,
- zoznam súborov na externom úložisku.
Nazbierané dáta ukladá spyvér do lokálnej databázy a následne posiela na riadiaci server. Keď z neho príde odkaz na novú verziu, infiltrácia sa dokáže aktualizovať.
Skupina Bahamut zvyčajne používa na získanie prvotného prístupu k obetiam cielene šité podvodné správy (spearphishing) a falošné aplikácie. Medzi ciele hackerov patria najmä organizácie a jednotlivci na Blízkom východe a v južnej Ázii. Svoje služby ponúkajú aj širokej škále klientov.