Κακόβουλο λογισμικό CraxsRAT Mobile
Εμπειρογνώμονες στον τομέα της κυβερνοασφάλειας φέρεται να έχουν αποκαλύψει την πραγματική ταυτότητα του ατόμου που είναι υπεύθυνο για την ανάπτυξη των Trojans Remote Access (RAT) γνωστών ως CypherRAT και CraxsRAT.
Λειτουργώντας με το διαδικτυακό ψευδώνυμο «EVLF DEV» και με έδρα τη Συρία τα τελευταία οκτώ χρόνια, αυτός ο παράγοντας απειλής πιστεύεται ότι έχει αποφέρει περισσότερα από 75.000 δολάρια διανέμοντας αυτούς τους δύο RAT σε διάφορες απειλητικές οντότητες. Οι πληροφορίες που αποκαλύπτονται υποδεικνύουν επίσης ότι αυτό το άτομο λειτουργεί ως χειριστής Malware-as-a-Service (MaaS).
Τα τελευταία τρία χρόνια, το EVLF DEV προσφέρει το CraxsRAT, το οποίο θεωρείται ένα από τα πιο επιβλαβή και εξελιγμένα Android RAT. Αυτός ο RAT ήταν διαθέσιμος σε ένα επιφανειακό κατάστημα Ιστού, με περίπου 100 άδειες ζωής που έχουν πωληθεί μέχρι στιγμής.
Το κακόβουλο λογισμικό CraxsRAT Android είναι εξαιρετικά προσαρμόσιμο
Το CraxsRAT δημιουργεί πολύπλοκα ασαφή πακέτα, παρέχοντας στους κακόβουλους φορείς την ευελιξία να προσαρμόσουν το περιεχόμενό τους με βάση τον επιδιωκόμενο τύπο επίθεσης, συμπεριλαμβανομένων των εγχύσεων σελίδων WebView. Οι φορείς απειλών έχουν την ελευθερία να καθορίσουν το όνομα και το εικονίδιο της εφαρμογής για διείσδυση συσκευής, καθώς και τις συγκεκριμένες λειτουργίες που θα διαθέτει το κακόβουλο λογισμικό.
Επιπλέον, το πρόγραμμα δημιουργίας ενσωματώνει μια δυνατότητα γρήγορης εγκατάστασης που δημιουργεί εφαρμογές με ελάχιστες άδειες εγκατάστασης για να αποφύγει τον εντοπισμό. Ωστόσο, μετά την εγκατάσταση, ο παράγοντας απειλής διατηρεί τη δυνατότητα να ζητήσει την ενεργοποίηση πρόσθετων αδειών.
Αυτός ο Trojan αξιοποιεί τις Υπηρεσίες Προσβασιμότητας Android για να αποκτήσει μια ποικιλία λειτουργιών, όπως καταγραφή πλήκτρων, χειρισμό οθόνης αφής και αυτόματη επιλογή επιλογών. Η εκτεταμένη γκάμα των δυνατοτήτων του CraxsRAT περιλαμβάνει εργασίες όπως η εγγραφή και η ζωντανή ροή της οθόνης της συσκευής. Είναι σε θέση να αποκτά ηχογραφήσεις ή να παρακολουθεί σε πραγματικό χρόνο χρησιμοποιώντας το μικρόφωνο του τηλεφώνου και την μπροστινή και την πίσω κάμερα. Το Trojan μπορεί να παρακολουθεί τη θέση της παραβιασμένης συσκευής μέσω γεωγραφικής θέσης ή παρακολουθώντας ζωντανές κινήσεις. Ως αποτέλεσμα, έχει τη δυνατότητα να εντοπίσει την ακριβή τοποθεσία του θύματος.
Μια επιλογή «super mod» είναι επίσης διαθέσιμη στους εγκληματίες του κυβερνοχώρου για να κάνουν το CraxsRAT ανθεκτικό στην αφαίρεση από μολυσμένες συσκευές. Αυτό επιτυγχάνεται με την ενεργοποίηση ενός σφάλματος κάθε φορά που εντοπίζεται μια προσπάθεια απεγκατάστασης της εφαρμογής.
Το CraxsRAT κλέβει ευαίσθητες και ιδιωτικές συσκευές θυμάτων δεδομένων
Το CraxsRAT είναι επίσης εξοπλισμένο για τη διαχείριση εφαρμογών. Αυτό περιλαμβάνει εργασίες όπως η απόκτηση της λίστας των εγκατεστημένων εφαρμογών, η ενεργοποίηση ή η απενεργοποίησή τους, το άνοιγμα ή το κλείσιμο, ακόμη και η διαγραφή τους. Παράλληλα με τον έλεγχο οθόνης, το CraxsRAT έχει την ικανότητα να κλειδώνει ή να ξεκλειδώνει την οθόνη και μπορεί να σκουρύνει την οθόνη για να κρύψει τις κακόβουλες ενέργειές του. Το κακόβουλο λογισμικό επεκτείνει τις δυνατότητές του σε εργασίες διαχείρισης αρχείων, όπως άνοιγμα, μετακίνηση, αντιγραφή, λήψη, μεταφόρτωση, κρυπτογράφηση και αποκρυπτογράφηση αρχείων.
Το CraxsRAT διαθέτει τη δυνατότητα να παρακολουθεί τους ιστότοπους στους οποίους έχετε πρόσβαση και να επιβάλλει το άνοιγμα συγκεκριμένων σελίδων. Αυτός ο RAT μπορεί να εκκινήσει αλυσίδες μόλυνσης είτε κατεβάζοντας και εκτελώντας ο ίδιος ωφέλιμα φορτία είτε εξαπατώντας τα θύματα να το κάνουν μέσω κακόβουλων τοποθεσιών που ανοίγουν με τη βία. Ως αποτέλεσμα, θεωρητικά, αυτό το πρόγραμμα θα μπορούσε να χρησιμοποιηθεί για την εμφύτευση συσκευών με πιο εξειδικευμένους trojans, ransomware και άλλες μορφές κακόβουλου λογισμικού.
Το CraxsRAT έχει την ικανότητα να χειρίζεται τις επαφές του τηλεφώνου διαβάζοντας, διαγράφοντας και προσθέτοντας νέες. Επιπλέον, το απειλητικό πρόγραμμα είναι ικανό στην εξέταση των αρχείων καταγραφής κλήσεων (συμπεριλαμβανομένων των εισερχόμενων, εξερχόμενων και αναπάντητων κλήσεων), στην εγγραφή τηλεφωνικών συνομιλιών και ακόμη και στην έναρξη κλήσεων. Ομοίως, το Trojan μπορεί να έχει πρόσβαση σε μηνύματα SMS (τόσο σταλμένα και ληφθέντα, όσο και σε πρόχειρα) και να τα στέλνει. Αυτές οι δυνατότητες που σχετίζονται με τις τηλεφωνικές κλήσεις και τα μηνύματα κειμένου τοποθετούν το CraxsRAT για χρήση ως κακόβουλο λογισμικό Toll Fraud.
Το RAT μπορεί να έχει πρόσβαση σε περιεχόμενο που είναι αποθηκευμένο στο πρόχειρο (δηλαδή, το buffer αντιγραφής-επικόλλησης). Το CraxsRAT στοχεύει επίσης διάφορους λογαριασμούς και τα διαπιστευτήρια σύνδεσής τους. Μεταξύ των παραδειγμάτων που αναφέρονται στο διαφημιστικό υλικό του είναι απροσδιόριστα email, λογαριασμοί Facebook και Telegram.
Είναι σημαντικό να τονιστεί ότι οι προγραμματιστές κακόβουλου λογισμικού συχνά βελτιώνουν το λογισμικό τους και ότι το CraxsRAT δεν διαφέρει. Κατά συνέπεια, αυτές οι λοιμώξεις όχι μόνο παρουσιάζουν ποικιλομορφία λόγω της δυνατότητας προσαρμογής τους, αλλά παρουσιάζουν και παραλλαγές λόγω της εισαγωγής νέων χαρακτηριστικών που έχουν ενσωματωθεί.
