Κακόβουλο λογισμικό FireScam Mobile

Αποκαλύφθηκε μια νέα απειλή Android που ονομάστηκε FireScam. Μεταμφιέζεται ως βελτιωμένη έκδοση της εφαρμογής ανταλλαγής μηνυμάτων Telegram. Αυτή η παραπλανητική τακτική επιτρέπει στο απειλητικό λογισμικό να εξάγει ευαίσθητα δεδομένα χρήστη και να διατηρεί σταθερή απομακρυσμένη πρόσβαση σε παραβιασμένες συσκευές.

A Clever Disguise: Fake Telegram Premium Application

Το FireScam διανέμεται υπό το πρόσχημα μιας πλαστής εφαρμογής «Telegram Premium». Διαδίδεται μέσω ενός ιστότοπου phishing που φιλοξενείται στο GitHub.io, ο οποίος παρουσιάζεται ψευδώς ως RuStore—μια πολύ γνωστή αγορά εφαρμογών στη Ρωσία. Οι αναλυτές ασφαλείας περιγράφουν αυτήν την απειλή για κινητές συσκευές ως πολύπλοκη και εξαιρετικά προσαρμόσιμη. Μόλις εγκατασταθεί, ακολουθεί μια διαδικασία μόλυνσης πολλαπλών σταδίων, που ξεκινά με ένα σταγονόμετρο APK που διευκολύνει την εκτεταμένη επιτήρηση.

Ο δόλιος ιστότοπος, rustore-apk.github.io, μιμείται τη διεπαφή του RuStore και έχει σχεδιαστεί για να εξαπατά τους χρήστες να κατεβάσουν ένα αρχείο APK με σταγονόμετρο που ονομάζεται "GetAppsRu.apk".

Ο ρόλος του Dropper στην επίθεση του FireScam

Μετά την εγκατάσταση, το σταγονόμετρο χρησιμεύει ως μηχανισμός παράδοσης για το κύριο ωφέλιμο φορτίο. Αυτό το βασικό στοιχείο είναι υπεύθυνο για τη συλλογή και τη μετάδοση ευαίσθητων πληροφοριών—όπως μηνύματα, ειδοποιήσεις και δεδομένα εφαρμογής—σε μια βάση δεδομένων Firebase σε πραγματικό χρόνο.

Για να ενισχύσει τον έλεγχό του, το dropper ζητά πολλαπλά δικαιώματα, τα οποία περιλαμβάνουν πρόσβαση σε εξωτερικό χώρο αποθήκευσης και τη δυνατότητα εγκατάστασης, ενημέρωσης ή κατάργησης εφαρμογών σε συσκευές Android με έκδοση 8 και νεότερη.

Μια ιδιαίτερα ανησυχητική πτυχή του FireScam είναι η εκμετάλλευση της άδειας ENFORCE_UPDATE_OWNERSHIP. Αυτή η δυνατότητα Android επιτρέπει στο αρχικό πρόγραμμα εγκατάστασης μιας εφαρμογής να γίνει ο «κάτοχος ενημέρωσης», που σημαίνει ότι μόνο ο καθορισμένος κάτοχος μπορεί να πραγματοποιήσει ενημερώσεις. Αξιοποιώντας αυτόν τον μηχανισμό, το FireScam μπορεί να αποκλείσει τις νόμιμες ενημερώσεις από άλλες πηγές, διασφαλίζοντας τη συνεχή παρουσία του στη μολυσμένη συσκευή.

Προηγμένες λειτουργίες φοροδιαφυγής και επιτήρησης

Το FireScam χρησιμοποιεί τεχνικές συσκότισης για να αντισταθεί στην ανίχνευση και την ανάλυση. Παρακολουθεί ενεργά τις εισερχόμενες ειδοποιήσεις, τις αλλαγές στην κατάσταση της οθόνης, τη δραστηριότητα των χρηστών, το περιεχόμενο του προχείρου, ακόμη και τις διαδικτυακές συναλλαγές. Η απειλή έχει επίσης τη δυνατότητα λήψης και επεξεργασίας εικόνων από έναν απομακρυσμένο διακομιστή, προσθέτοντας ένα άλλο επίπεδο στις δυνατότητες επιτήρησής του.

Κατά την εκκίνηση, η απατεώνων εφαρμογή Telegram Premium ζητά άδεια πρόσβασης στις επαφές των χρηστών, στα αρχεία καταγραφής κλήσεων και στα μηνύματα SMS. Στη συνέχεια, παρουσιάζει μια σελίδα σύνδεσης που αντικατοπτρίζει τον επίσημο ιστότοπο του Telegram μέσω ενός WebView, προσπαθώντας να καταγράψει τα διαπιστευτήρια χρήστη. Ωστόσο, η διαδικασία συλλογής δεδομένων ενεργοποιείται ακόμη και αν ο χρήστης δεν εισάγει τα στοιχεία σύνδεσής του.

Διατήρηση μόνιμης απομακρυσμένης πρόσβασης

Μία από τις πιο ύπουλες λειτουργίες του FireScam είναι η ικανότητά του να εγγράφεται για ειδοποιήσεις Firebase Cloud Messaging (FCM). Αυτό επιτρέπει στην απειλή να λαμβάνει απομακρυσμένες οδηγίες και να διατηρεί συνεχή μυστική πρόσβαση στη συσκευή. Επιπλέον, δημιουργεί μια σύνδεση WebSocket με τον διακομιστή εντολών και ελέγχου (C2) για να διευκολύνει την κλοπή δεδομένων και να εκτελέσει περαιτέρω μη ασφαλείς ενέργειες.

Άλλα επιβλαβή συστατικά και αναπάντητα ερωτήματα

Οι ερευνητές εντόπισαν επίσης ένα άλλο επιβλαβές τεχνούργημα που φιλοξενείται στον τομέα phishing, το οποίο αναφέρεται ως "CDEK". Αυτό το όνομα πιθανότατα αναφέρεται σε μια ρωσική υπηρεσία logistics και παρακολούθησης πακέτων, υποδηλώνοντας ευρύτερη κακόβουλη δραστηριότητα πέρα από το FireScam και μόνο.

Παραμένει ασαφές ποιος βρίσκεται πίσω από αυτή τη λειτουργία ή πώς οι χρήστες κατευθύνονται σε αυτούς τους συνδέσμους phishing. Οι πιθανές τακτικές θα μπορούσαν να περιλαμβάνουν καμπάνιες ηλεκτρονικού ψαρέματος (phishing) μέσω SMS (smishing) ή κακής διαφήμισης. Μιμούμενοι νόμιμες υπηρεσίες όπως το RuStore, αυτοί οι παραπλανητικός ιστότοπος χειραγωγούν την εμπιστοσύνη των χρηστών για να πείσουν τα άτομα να κατεβάσουν δόλιες εφαρμογές.

Η ικανότητα του FireScam να διεισδύει δεδομένα και να διεξάγει επιτήρηση υπογραμμίζει τους κινδύνους που σχετίζονται με τις μεθόδους διανομής που βασίζονται στο phishing. Αυτή η περίπτωση υπογραμμίζει τις συνεχιζόμενες προκλήσεις για την προστασία των χρηστών Android από απειλές που εκμεταλλεύονται την κοινωνική μηχανική και την εμπιστοσύνη σε γνωστές πλατφόρμες.