ActionSpy

ActionSpy é o nome de um kit de ferramentas de spyware, que visa exclusivamente os dispositivos Android. Os especialistas em malware primeiro pesquisaram a atividade do ActionSpy corretamente em junho de 2020. Segundo os pesquisadores, o ActionSpy pode estar ativo há mais de três anos. Parece que as campanhas do ActionSpy não foram atrás dos usuários em massa; em vez disso, os ataques foram direcionados a indivíduos específicos. Isso significa que as campanhas do ActionSpy não distribuíram malware em massa; portanto, é provável que muitos usuários não tenham sido afetados. Apesar da baixa taxa de infecção, o ActionSpy não deve ser subestimado, pois o spyware é capaz de assumir o controle quase completo dos dispositivos Android visados.

Em duas das mais recentes operações do ActionSpy, os alvos eram indivíduos tibetanos. O vetor de infecção utilizado nessas campanhas eram páginas falsas de downloads, que se disfarçavam como aplicativos populares entre os usuários da região tibetana. Um dos aplicativos é um serviço de reprodutor de vídeo móvel chamado Ekran, que é um dos aplicativos mais populares desse tipo no Tibete. Os operadores da campanha ActionSpy criaram sites falsos, que pareceriam legítimos para usuários inexperientes. Os sites em questão conteriam um link para download, que, ao ser clicado, baixaria a carga útil corrompida do spyware no dispositivo do usuário, juntamente com uma cópia funcional do aplicativo Ekran. Nessa situação, os usuários podem nem perceber que algo deu errado, pois alcançariam o resultado esperado, que é um aplicativo Ekran em funcionamento.

Quando o ActionSpy compromete o dispositivo Android de destino, ele se conecta ao servidor de C&C (Comando e Controle) dos atacantes imediatamente. O ActionSpy recebe comandos e pedidos do C&C dos seus operadores. Quando o ActionSpy estiver ativo no host, ele enviará dados sobre o software e o hardware do dispositivo para o servidor de C&C duas vezes a cada minuto. Ao comprometer um dispositivo, o ActionSpy solicitará que o usuário permita que ele use os recursos de acessibilidade. Se o usuário conceder a permissão, o ActionSpy poderá:

• Gravar áudio através do microfone do dispositivo comprometido.
• Gravar vídeos e tirar fotos pela câmera do dispositivo comprometido.
• Fazer capturas de tela do dispositivo.
• Gerenciar a conexão WiFi do dispositivo.
• Obter o histórico de navegação e os favoritos no navegador da Web do usuário.
• Usar o serviço de GPS para localizar a vítima.
• Obter acesso aos registros de chamadas, mensagens de texto e lista de contatos do dispositivo.
• Localizar e coletar arquivos com base no seu tipo de arquivo.
• Coletar arquivos recebidos pelo aplicativo WeChat.
• Coletar conversas do WeChat, Viber, WhatsApp e QQ.

O ActionSpy é um projeto sofisticado que é totalmente capaz de realizar operações complexas de reconhecimento. Apesar das campanhas do ActionSpy estarem concentradas principalmente no Tibete, é provável que esse projeto seja usado contra outros alvos no futuro.