DragonEgg Mobile Malware
Potrivit cercetătorilor de securitate, un grup de spionaj sponsorizat de stat chinez, identificat ca APT41, cunoscut și sub alte pseudonime precum Barium, Earth Baku și Winnti, a folosit în mod activ WyrmSpy și programul malware DragonEgg pentru a viza dispozitivele mobile Android. În timp ce APT41 se bazează pe atacurile aplicațiilor web și pe vulnerabilitățile software pentru a viza organizațiile din întreaga lume, recent și-a modificat tactica de a dezvolta programe malware adaptate în mod explicit pentru sistemul de operare Android.
În această nouă abordare, APT41 utilizează infrastructura de comandă și control existentă, adresele IP și domeniile pentru a comunica și a controla cele două variante de malware, WyrmSpy și DragonEgg, concepute special pentru dispozitivele Android. Această schimbare strategică arată adaptabilitatea și dorința grupului de a exploata platformele mobile în campaniile sale de spionaj, prezentând un peisaj de amenințări în evoluție pentru organizații la nivel global.
APT41 își extinde Arsenalul de instrumente amenințător
APT41 probabil a folosit tactici de inginerie socială pentru a distribui amenințările spyware WyrmSpy și DragonEgg pe dispozitivele Android. Au reușit acest lucru deghizând WyrmSpy ca o aplicație implicită de sistem Android și DragonEgg ca tastaturi și aplicații de mesagerie Android terțe, inclusiv platforme populare precum Telegram. Deocamdată, rămâne neclar dacă distribuția acestor două tipuri de malware a avut loc prin Magazinul oficial Google Play sau prin fișiere .apk din alte surse.
Un punct de interes semnificativ este utilizarea de către grup a certificatelor de semnare Android similare atât pentru WyrmSpy, cât și pentru DragonEgg. Cu toate acestea, bazarea exclusiv pe această similitudine nu este suficientă pentru o atribuire precisă, deoarece grupurile de amenințări chineze sunt cunoscute că împărtășesc instrumente și tehnici de hacking, ceea ce face identificarea dificilă. Dovada concludentă care a condus la atribuirea lor a fost descoperirea că infrastructura Command-and-Control (C2) a malware-ului conține adresa IP exactă și domeniul web pe care APT41 le-a folosit în mai multe campanii din mai 2014 până în august 2020. Această legătură crucială a solidificat asocierea spyware-ului mobil cu actorul de amenințare APT41.
Utilizarea tehnicilor de inginerie socială și manipularea aplicațiilor Android pentru a furniza programe malware de supraveghere subliniază importanța securității dispozitivelor mobile. Utilizatorii sunt sfătuiți să fie precauți atunci când descarcă aplicații din surse neoficiale și să folosească soluții de securitate reputate pentru a se proteja împotriva unor astfel de atacuri direcționate. În plus, rămânerea vigilenți împotriva încercărilor de inginerie socială și actualizarea regulată a software-ului poate ajuta la atenuarea riscului de a deveni victima unor aplicații amenințătoare precum WyrmSpy și DragonEgg.
DragonEgg Sifoane informații sensibile de la dispozitivele Android compromise
DragonEgg prezintă un nivel îngrijorător de intruziv, deoarece solicită permisiuni extinse la instalare. Acest malware de supraveghere este echipat cu capabilități avansate de colectare și exfiltrare a datelor. În plus, DragonEgg folosește o sarcină utilă secundară numită smallmload.jar, care oferă malware-ului funcționalități suplimentare, permițându-i să exfiltreze diverse date sensibile de pe dispozitivul infectat. Aceasta include fișiere de stocare a dispozitivului, fotografii, contacte, mesaje și înregistrări audio. Un alt aspect demn de remarcat al DragonEgg este comunicarea cu un server de comandă și control (C2) pentru a prelua un modul terțiar necunoscut care se preface ca un program criminalistic.
Descoperirea WyrmSpy și DragonEgg servește ca o amintire emoționantă a amenințării crescânde reprezentate de software-ul malware Android sofisticat. Aceste pachete de programe spyware reprezintă o amenințare formidabilă, capabilă să adune pe furiș o gamă extinsă de date de pe dispozitivele compromise. Pe măsură ce peisajul malware-ului Android avansat continuă să evolueze, devine din ce în ce mai important ca utilizatorii să rămână atenți și să ia măsuri proactive pentru a-și proteja dispozitivele și informațiile personale. Folosirea unor soluții de securitate cu renume, prudența la instalarea aplicațiilor și informarea cu privire la amenințările emergente sunt pași esențiali în atenuarea riscului prezentat de astfel de programe malware avansate de supraveghere.
