ClayRat Spyware

En hurtigt udviklende Android-spywarekampagne kendt som ClayRat er blevet en betydelig trussel mod brugere, især i Rusland. Angribere udnytter en kombination af Telegram-kanaler og lignende phishing-websteder, hvor de udgiver sig for at være populære applikationer som WhatsApp, Google Fotos, TikTok og YouTube for at lokke ofre til at installere malwaren.

Hvordan ClayRat spreder sig

Angrebskæden begynder, når intetanende brugere omdirigeres til svindelwebsteder, der linker til Telegram-kanaler, som angriberne kontrollerer. Her bliver ofrene narret til at downloade ondsindede APK-filer via:

• Kunstigt oppustede downloadtællinger
• Fabrikerede udtalelser, der hævder app-popularitet

Nogle ondsindede websteder udgiver sig for at tilbyde forbedrede versioner af populære apps, såsom YouTube Plus, og hoster APK-filer, der er designet til at omgå sikkerhedsforanstaltninger på enheder, der kører Android 13 og nyere.

Visse ClayRat-eksempler fungerer som droppers, der præsenterer en letvægtsapp med en falsk Play Butik-opdateringsskærm. Den faktiske nyttelast er krypteret og skjult i appens aktiver, hvilket gør det muligt for malwaren at omgå platformbegrænsninger og øge installationssuccesraterne.

Ondsindede funktioner

Når ClayRat er installeret, aktiverer det en række påtrængende funktioner:

• Eksfiltrerer SMS-beskeder, opkaldslogge, notifikationer og enhedsoplysninger
• Tager billeder med frontkameraet
• Sender SMS-beskeder eller foretager opkald direkte fra den inficerede enhed
• Indsamler en liste over alle installerede programmer og sender den til Command-and-Control (C2)-serveren

Malwaren spreder sig også aggressivt ved at sende ondsindede links til alle kontakter i offerets telefonbog, hvilket effektivt forvandler kompromitterede enheder til automatiserede distributionsnoder.

Teknisk sofistikering

Sikkerhedsforskere har observeret over 600 prøver og 50 dråber af ClayRat i løbet af de sidste 90 dage. Hver ny iteration tilføjer lag af forvirring, hvilket gør detektion vanskeligere.

Kommunikation med C2-infrastrukturen er afhængig af standard HTTP-protokoller, og malwaren anmoder brugerne om at gøre den til standard SMS-applikationen for at få adgang til følsomt indhold og beskedfunktioner. Disse funktioner giver angribere mulighed for at udføre overvågning og udvide malwarens rækkevidde uden manuel indgriben.

Beskyttelsesforanstaltninger

Trods sin styrke afbødes ClayRat af Google Play Protect, som er aktiveret som standard på enheder med Google Play Services. Play Protect beskytter automatisk brugere mod kendte versioner af malwaren.

ClayRat repræsenterer en dobbelt trussel: den spionerer på ofre, samtidig med at den forvandler deres enheder til værktøjer til yderligere spredning af malware. Kombinationen af social engineering, avancerede undvigelsesteknikker og automatiseret distribution gør den til en formidabel modstander i Android-trusselslandskabet.