DragonEgg Mobile Malware
Enligt säkerhetsforskare har en kinesisk statssponsrad spionagegrupp identifierad som APT41, även känd under andra alias som Barium, Earth Baku och Winnti, aktivt använt WyrmSpy och DragonEgg spionprogram skadlig programvara för att rikta in sig på mobila Android-enheter. Medan APT41 har en historia av att förlita sig på webbapplikationsattacker och sårbarheter i mjukvara för att rikta sig mot organisationer över hela världen, har den nyligen ändrat sin taktik för att utveckla skadlig programvara som är särskilt anpassad för Android-operativsystemet.
I detta nya tillvägagångssätt använder APT41 sin befintliga Command-and-Control-infrastruktur, IP-adresser och domäner för att kommunicera med och kontrollera de två malware-varianterna, WyrmSpy och DragonEgg, speciellt designade för Android-enheter. Detta strategiska skifte visar upp gruppens anpassningsförmåga och vilja att utnyttja mobila plattformar i sina spionagekampanjer, vilket presenterar ett växande hotlandskap för organisationer globalt.
APT41 utökar sitt hotande arsenal av verktyg
APT41 använde sannolikt social ingenjörsteknik för att distribuera WyrmSpy- och DragonEgg-spywarehoten till Android-enheter. De åstadkom detta genom att maskera WyrmSpy som en standard Android-systemapplikation och DragonEgg som tredjeparts Android-tangentbord och meddelandeapplikationer, inklusive populära plattformar som Telegram. I nuläget är det fortfarande oklart om distributionen av dessa två typer av skadlig programvara skedde via den officiella Google Play Butik eller via .apk-filer från andra källor.
En viktig punkt av intresse är gruppens användning av liknande Android-signeringscertifikat för både WyrmSpy och DragonEgg. Att enbart förlita sig på denna likhet är dock inte tillräckligt för exakt tillskrivning, eftersom kinesiska hotgrupper är kända för att dela hackningsverktyg och -tekniker, vilket gör identifieringen utmanande. Det avgörande beviset som ledde till deras tillskrivning var upptäckten att skadlig programvaras Command-and-Control (C2)-infrastruktur innehöll den exakta IP-adressen och webbdomänen som APT41 hade använt i flera kampanjer som sträckte sig från maj 2014 till augusti 2020. Denna avgörande länk befäste kopplingen mellan det mobila spionprogrammet och APT41-hotet.
Användningen av social ingenjörsteknik och manipulering av Android-applikationer för att leverera skadlig programvara för övervakning understryker betydelsen av säkerhet för mobila enheter. Användare uppmanas att vara försiktiga när de laddar ner applikationer från inofficiella källor och använda välrenommerade säkerhetslösningar för att skydda mot sådana riktade attacker. Att förbli vaksam mot försök till social ingenjörskonst och regelbunden uppdatering av programvara kan hjälpa till att minska risken för att falla offer för hotfulla applikationer som WyrmSpy och DragonEgg.
DragonEgg Siphons Känslig information från komprometterade Android-enheter
DragonEgg uppvisar en oroande nivå av intrång eftersom den begär omfattande behörigheter vid installationen. Denna skadliga övervakning är utrustad med avancerade datainsamlings- och exfiltreringsmöjligheter. Dessutom utnyttjar DragonEgg en sekundär nyttolast som kallas smallmload.jar, som ger skadlig programvara ytterligare funktioner, vilket gör att den kan exfiltrera olika känsliga data från den infekterade enheten. Detta inkluderar enhetslagringsfiler, foton, kontakter, meddelanden och ljudinspelningar. En annan anmärkningsvärd aspekt av DragonEgg är dess kommunikation med en Command-and-Control-server (C2) för att hämta en okänd tertiärmodul som maskerar sig som ett kriminaltekniskt program.
Upptäckten av WyrmSpy och DragonEgg fungerar som en gripande påminnelse om det eskalerande hotet från sofistikerad skadlig programvara för Android. Dessa spionprogramspaket utgör ett formidabelt hot, som i smyg kan samla in ett brett utbud av data från komprometterade enheter. Allt eftersom landskapet med avancerad skadlig programvara för Android fortsätter att utvecklas, blir det allt viktigare för användare att vara uppmärksamma och vidta proaktiva åtgärder för att skydda sina enheter och personlig information. Att använda välrenommerade säkerhetslösningar, iaktta försiktighet när du installerar applikationer och hålla dig informerad om nya hot är viktiga steg för att minska risken med sådan avancerad skadlig övervakning.
