Vírusový radar / Falošná VPN aplikácia a falošný Telegram na Androide

V závere roka boli aj naši výskumníci v strehu, a nie iba pre vianočné darčeky alebo bujaré silvestrovské oslavy. Aj posledné týždne roka sme totiž zverejnili niekoľko zaujímavých objavov. V tomto stĺpčeku sa zameriam na dve hrozby pre androidové smartfóny.

Náš košický výskumník Lukáš Štefanko odhalil aktívnu kybernetickú kampaň zacielenú na používateľov operačného systému Android, ktorú má na svedomí APT skupina Bahamut. Táto kampaň trvala počas celého roka 2022.  Škodlivé spajvérové aplikácie tváriace sa ako legitímne útočníci rozširujú prostredníctvom falošnej stránky služby SecureVPN, ktorá ponúka na stiahnutie výhradne skompromitované aplikácie pre Android. Táto stránka, samozrejme, nemá nič spoločné s legitímnym multiplatformovým softvérom a službou SecureVPN.

Škodlivé aplikácie použité v tejto kampani dokážu toho od používateľov kradnúť naozaj veľa: kontakty, SMS správy, nahraté hovory a dokonca správy z aplikácií na četovanie, ako napríklad WhatsApp, Facebook Messenger, Signal, Viber a Telegram. Identifikovali sme najmenej osem verzií spajvéru Bahamut, čo môže znamenať, že kampaň je dobre spravovaná. Škodlivé aplikácie neboli nikdy k dispozícii na stiahnutie v obchode Google Play.

K exfiltrácii dát dochádza prostredníctvom funkcionality na zaznamenávanie stlačení klávesnice, ktorá zneužíva služby dostupnosti. Kampaň sa zdá mimoriadne cielená, pretože sme tieto prípady nezaznamenali v rámci našej telemetrie. Aplikácia si navyše vypýta aktivačný kľúč ešte pred povolením VPN a sledovacej funkcionality. Táto vrstva má za cieľ zabrániť spusteniu škodlivého kódu na zariadeniach osôb, ktoré nie sú v hľadáčiku útočníkov, a chrániť ho pred analýzou bezpečnostnými expertmi.  Ak je sledovacia funkcionalita povolená, útočníci dokážu spajvér ovládať na diaľku a získať rôzne citlivé dáta.

Medzi ciele APT skupiny Bahamut  patria najmä organizácie a jednotlivci na Blízkom východe a v južnej Ázii a zameriava sa na kybernetickú špionáž.

Nie dlho od tohto útoku Lukáš Štefanko objavil inú obdobnú a takisto prebiehajúcu kampaň na Androide. APT skupina StrongPity zneužila plnofunkčnú, no skompromitovanú verziu legitímnej aplikácie Telegram. Tá sa dá stiahnuť výhradne z falošnej stránky napodobňujúcej web Shagle.

Backdoor z dielne skupiny StrongPity disponuje viacerými špionážnymi schopnosťami: 11 dynamicky spustiteľných modulov dokáže nahrávať telefonické hovory či zbierať SMS správy, zoznamy hovorov a kontaktov. Tieto moduly sa podarilo verejne zdokumentovať vôbec prvýkrát. Ak obeť udelí škodlivej aplikácii prístup k notifikáciám a službám dostupnosti, malvér získa prístup k prichádzajúcim notifikáciám zo 17 aplikácií, ako napríklad Viber, Skype, Gmail, Messenger či Tinder, a dokáže aj kradnúť četovú komunikáciu z ostatných aplikácií. Kybernetická kampaň je rovnako ako v prípade Bahamutu pravdepodobne veľmi úzko cielená, keďže telemetria spoločnosti ESET doposiaľ nezaznamenala žiadne obete.

Na rozdiel od skutočnej služby Shagle, ktorá funguje výhradne ako webová stránka a neponúka na stiahnutie oficiálnu mobilnú aplikáciu, falošná stránka ponúka na stiahnutie podvodnú aplikáciu Telegram. Táto skompromitovaná verzia pritom nie je dostupná v obchode ­Google Play.

Analýza kódu ukázala, že backdoor je modulárny a dodatočné binárne moduly sú sťahované z riadiaceho servera. To znamená, že počet a typ použitých modulov sa môže kedykoľvek meniť v závislosti od potrieb skupiny StrongPity.

Skompromitovaná verzia Telegramu používa ten istý názov balíka ako legitímna aplikácia Telegram. Názvy balíkov by mali byť unikátne identifikátory pre každú aplikáciu pre Android a musia byť jedinečné pre každé zariadenie. Znamená to, že ak je oficiálna aplikácia Telegram už nainštalovaná na zariadení možnej obete, backdoor sa nedokáže nainštalovať. Podľa Štefanka sa to dá vysvetliť tak, že útočník najprv komunikuje s potenciálnou obeťou a tlačí ju do odinštalovania aplikácie Telegram z jej zariadenia, ak ju už má nainštalovanú. Druhá možnosť je, že sa kampaň zameriava na krajiny, kde sa Telegram používa na komunikáciu len zriedka.

Aplikácia skupiny StrongPity by mala na komunikáciu fungovať ­takisto ako oficiálna verzia. V porovnaní s prvým malvérom skupiny StrongPity pre mobilné telefóny má tento backdoor rozšírené špionážne schopnosti. Dokáže sledovať prichádzajúce notifikácie a kradnúť četovú komunikáciu, ak obeť povolí aplikácii prístup k notifikáciám a službám dostupnosti. 

Aj tento rok majte teda na pamäti, že váš telefón je malý počítač. Niekedy dokonca výkonnejší ako ten, ktorý máte na stole, a často s ešte väčším množstvom citlivých dát. A tie by si mal každý chrániť ako tie v počítači. Bezpečné surfovanie sa vzťahuje aj na aplikácie a brázdenie webu na smartfóne.