Malware SURXRAT
SURXRAT je sofistikovaný trojský kůň (RAT) pro vzdálený přístup k systému Android, distribuovaný na základě modelu malware jako služba (MaaS) prostřednictvím platformy založené na Telegramu. Analýza zdrojového kódu a funkční podobnosti naznačují, že se pravděpodobně vyvinul z Arsink RAT. SURXRAT, navržený k infiltraci zařízení se systémem Android, umožňuje rozsáhlé krádeže dat, vzdálenou manipulaci se zařízeními a dokonce i úplné uzamčení zařízení.
Obsah
Zločinecký obchodní model: Programy prodeje a partnerství
SURXRAT je komerčně dostupný prostřednictvím dvou úrovní jednorázového předplatného, z nichž každá je přizpůsobena různým úrovním zločinecké činnosti:
Resellerský plán : Povoluje až tři sestavení malwaru denně a jeho distribuci za cenu stanovenou provozovatelem.
Partnerský plán : Umožňuje až deset sestavení denně a opravňuje kupující k založení vlastních sítí prodejců.
Oba balíčky zahrnují bezplatné upgrady serverů, což posiluje strukturovanou a škálovatelnou povahu tohoto nelegálního ekosystému.
Pracovní postup infekce a zneužití oprávnění
Po spuštění SURXRAT agresivně požaduje vysoce riziková oprávnění, včetně přístupu k údajům o poloze, kontaktům, SMS zprávám a úložišti zařízení. Po udělení oprávnění malware vyzve oběť k povolení Služeb usnadnění přístupu Android. Tento kritický krok umožňuje škodlivé aplikaci sledovat aktivitu na obrazovce a provádět automatizované akce bez vědomí uživatele.
Po zajištění požadovaných oprávnění shromažďuje SURXRAT rozsáhlé informace o zařízeních, včetně seznamů kontaktů, obsahu SMS, protokolů hovorů, výrobce a modelu zařízení, verze systému Android, úrovně nabití baterie, údajů o SIM kartě, informací o síti a veřejné IP adresy. Malware udržuje trvalé běh na pozadí a zároveň komunikuje se svou infrastrukturou velení a řízení (C2). Aktivuje také specializované moduly zodpovědné za dohled, řízení systému a sběr dat.
Možnosti dohledu a exfiltrace dat
SURXRAT poskytuje operátorům široký přehled o napadených zařízeních. Jeho schopnosti krádeže dat zahrnují přístup k SMS zprávám, kontaktům, protokolům hovorů, nainstalovaným aplikacím a podrobným systémovým informacím. Malware dokáže také extrahovat data z účtu Gmail, sledovat polohu v reálném čase a shromažďovat metriky sítě a připojení.
Mezi další funkce sledování patří zachycování oznámení, monitorování schránky a sledování historie prohlížeče. Malware dokáže zachytit data z mobilních věží, prohledávat dostupné WiFi sítě, zaznamenávat historii připojení a přistupovat ke všem souborům v zařízení prostřednictvím integrované komponenty pro správu souborů.
Manipulace a narušení vzdálených zařízení
Kromě špionáže poskytuje SURXRAT útočníkům plnou vzdálenou kontrolu nad infikovanými zařízeními. Mezi jeho schopnosti patří odemykání zařízení, zahájení telefonních hovorů, změna tapet, přehrávání zvuku, generování umělého zpoždění sítě, odesílání push notifikací a vynucení otevírání určených webových stránek zařízením. Může také aktivovat svítilnu, spouštět vibrace a zobrazovat na obrazovce vlastní text.
Závažnější funkce umožňují operátorům uzamknout zařízení pomocí PIN kódu dle vlastního výběru nebo zcela vymazat uložená data. Nedávná verze zavádí mechanismus omezování internetového připojení, který záměrně zpomaluje připojení oběti. Toho je dosaženo zahájením stahování masivního souboru hostovaného na Hugging Face. Proces stahování se automaticky spustí, když jsou aktivní určité herní aplikace, včetně speciálních edic Free Fire, nebo když útočník zadá alternativní cílové aplikace prostřednictvím řídicího serveru.
Vestavěná funkce pro ochranu před ransomwarem
SURXRAT obsahuje funkci zamykání podobnou ransomwaru, která zobrazuje zprávu na celé obrazovce a zabezpečuje zařízení PINem. Útočníci mohou požadovat platbu, v reálném čase sledovat pokusy o zadání nesprávného PINu a v případě potřeby zámek na dálku odstranit. Tyto funkce se běžně zneužívají k finančnímu vydírání.
Dopad a bezpečnostní důsledky
Jako multifunkční hrozba pro Android kombinuje SURXRAT krádež dat, špionáž, dálkové ovládání a ransomwarové operace v jednom rámci. Důsledky pro oběti mohou zahrnovat finanční podvody, krádež identity, kompromitaci účtů, narušení soukromí, narušení provozu a zvýšené vystavení sekundárním kybernetickým útokům.
Malware pro Android, jako je SURXRAT, se běžně šíří prostřednictvím klamavých aplikací hostovaných na neoficiálních tržištích nebo škodlivých webových stránkách. Útočníci často maskují datové zásilky jako legitimní aplikace, upravené hry, cracknutý software nebo aktualizace softwaru. Mezi způsoby doručení patří také phishingové odkazy odesílané prostřednictvím SMS, e-mailu, sociálních médií a platforem pro zasílání zpráv. V jiných kampaních útočníci zneužívají zranitelnosti systému nebo nasazují škodlivou reklamu. Ve většině případů závisí úspěšná infekce na interakci uživatele, který nevědomky autorizuje spuštění škodlivé aplikace.
