Programari maliciós SURXRAT

SURXRAT és un sofisticat troià d'accés remot per a Android (RAT) distribuït sota un model de programari maliciós com a servei (MaaS) a través d'una plataforma basada en Telegram. L'anàlisi del codi font i les similituds funcionals indiquen que probablement va evolucionar d'Arsink RAT. Dissenyat per infiltrar-se en dispositius Android, SURXRAT permet el robatori extensiu de dades, la manipulació remota de dispositius i fins i tot el bloqueig complet del dispositiu.

Model de negoci criminal: esquemes de revenedors i socis

SURXRAT es comercialitza a través de dos nivells de subscripció de pagament únic, cadascun adaptat a diferents nivells d'empresa criminal:

Pla de revenedor : permet fins a tres compilacions de programari maliciós al dia i permet la redistribució segons el preu determinat per l'operador.

Pla de socis : permet fins a deu compilacions al dia i autoritza els compradors a establir les seves pròpies xarxes de distribuïdors.

Tots dos paquets inclouen actualitzacions de servidor gratuïtes, cosa que reforça la naturalesa estructurada i escalable d'aquest ecosistema il·lícit.

Flux de treball d’infecció i abús de permisos

En executar-se, SURXRAT sol·licita agressivament permisos d'alt risc, com ara l'accés a dades de localització, contactes, missatges SMS i emmagatzematge del dispositiu. Un cop concedits, el programari maliciós demana a la víctima que activi els Serveis d'Accessibilitat d'Android. Aquest pas crític permet que l'aplicació maliciosa supervisi l'activitat a la pantalla i realitzi accions automatitzades sense que l'usuari se n'adoni.

Després d'assegurar els privilegis necessaris, SURXRAT recopila informació exhaustiva sobre el dispositiu, incloent-hi llistes de contactes, contingut d'SMS, registres de trucades, fabricant i model del dispositiu, versió d'Android, nivell de bateria, detalls de la targeta SIM, informació de xarxa i adreça IP pública. El programari maliciós manté una execució persistent en segon pla mentre manté la comunicació amb la seva infraestructura de comandament i control (C2). També activa mòduls dedicats responsables de la vigilància, el control del sistema i la recopilació de dades.

Capacitats de vigilància i exfiltració de dades

SURXRAT proporciona als operadors una àmplia visibilitat dels dispositius compromesos. Les seves capacitats de robatori de dades inclouen l'accés a missatges SMS, contactes, registres de trucades, aplicacions instal·lades i informació detallada del sistema. El programari maliciós també pot extreure dades del compte de Gmail, controlar la ubicació en temps real i recopilar mètriques de xarxa i connectivitat.

Les funcions de vigilància addicionals s'estenen a la intercepció de notificacions, la supervisió del porta-retalls i el seguiment de l'historial del navegador. El programari maliciós pot capturar dades de torres de telefonia mòbil, escanejar xarxes WiFi disponibles, registrar l'historial de connexions i accedir a tots els fitxers del dispositiu mitjançant un component integrat de gestió de fitxers.

Manipulació i interrupció remotes de dispositius

Més enllà de l'espionatge, SURXRAT atorga als atacants control remot total sobre els dispositius infectats. Les seves capacitats inclouen desbloquejar el dispositiu, iniciar trucades telefòniques, modificar fons de pantalla, reproduir àudio, generar retard artificial a la xarxa, enviar notificacions push i forçar el dispositiu a obrir llocs web específics. També pot activar la llanterna, activar la vibració i superposar text personalitzat a la pantalla.

Funcions més importants permeten als operadors bloquejar el dispositiu amb un PIN que triïn o esborrar completament les dades emmagatzemades. Una versió recent introdueix un mecanisme de limitació d'accés a Internet que alenteix deliberadament la connexió de la víctima. Això s'aconsegueix iniciant la descàrrega d'un fitxer massiu allotjat a Hugging Face. El procés de descàrrega s'activa automàticament quan certes aplicacions de joc, incloses les edicions especials de Free Fire, estan actives o quan l'atacant especifica aplicacions de destinació alternatives a través del servidor de control.

Funcionalitat de ransomware integrada

SURXRAT incorpora una funció de bloqueig d'estil ransomware que mostra un missatge a pantalla completa i protegeix el dispositiu amb un PIN. Els atacants poden exigir el pagament, controlar els intents incorrectes d'introducció del PIN en temps real i eliminar el bloqueig de forma remota si ho desitgen. Aquestes capacitats s'utilitzen habitualment per a l'extorsió financera.

Impacte i implicacions de seguretat

Com a amenaça multifuncional per a Android, SURXRAT combina robatori de dades, espionatge, control remot i operacions de ransomware en un únic marc de treball. Les conseqüències per a les víctimes poden incloure frau financer, robatori d'identitat, compromís de comptes, violacions de la privadesa, interrupcions operatives i una major exposició a ciberatacs secundaris.

El programari maliciós per a Android, com ara SURXRAT, es distribueix habitualment a través d'aplicacions enganyoses allotjades en mercats no oficials o llocs web maliciosos. Els actors amenaçadors sovint disfressen les càrregues útils com a aplicacions legítimes, jocs modificats, programari piratejat o actualitzacions de programari. Els mètodes de lliurament també inclouen enllaços de phishing enviats per SMS, correu electrònic, xarxes socials i plataformes de missatgeria. En altres campanyes, els atacants exploten vulnerabilitats del sistema o despleguen publicitat maliciosa. En la majoria dels casos, una infecció reeixida depèn de la interacció de l'usuari que, sense saber-ho, autoritza l'execució de l'aplicació maliciosa.