Predator Mobile Malware
Οι φορείς απειλών που υποστηρίζονται από την κυβέρνηση χρησιμοποιούν μια απειλή κακόβουλου λογισμικού για κινητά που παρακολουθείται ως Predator, για να μολύνουν τις κινητές συσκευές επιλεγμένων στόχων. Η προέλευση της απειλής Predator έχει συνδεθεί με μια εμπορική εταιρεία επιτήρησης που ονομάζεται Cytrox. Σύμφωνα με τα ευρήματα του CitizenLab, η Cytrox ιδρύθηκε για πρώτη φορά ως start-up στη Βόρεια Μακεδονία. Έκτοτε, η εταιρεία έχει δημιουργήσει μια εταιρική παρουσία στο Ισραήλ και την Ουγγαρία και πιστεύεται ότι προμήθευε λογισμικό υποκλοπής spyware και zero-day exploit στους πελάτες της. Μια αναφορά από την TAG (Ομάδα Ανάλυσης Απειλών) της Google επιβεβαίωσε ότι αυτοί οι παράγοντες απειλών βρίσκονται σε πολλές χώρες σε όλο τον κόσμο, όπως η Αίγυπτος, η Ελλάδα, η Ισπανία, η Αρμενία, η Ακτή Ελεφαντοστού, η Μαδαγασκάρη και η Ινδονησία.
Λεπτομέρειες για το Predator
Το Predator είναι ένα λογισμικό κατασκοπείας που μπορεί να μολύνει συσκευές iOS και Android. Η απειλή αναπτύσσεται στις συσκευές μέσω ενός φορτωτή προηγούμενου σταδίου. Στις τρεις εκστρατείες επίθεσης που περιγράφονται λεπτομερώς στην αναφορά Google TAG, ο φορτωτής αναγνωρίστηκε ως ALIEN , ένα αρκετά απλό εμφύτευμα κακόβουλου λογισμικού που μπορεί να εγχυθεί σε πολλαπλές προνομιακές διαδικασίες. Μόλις δημιουργηθεί, η απειλή μπορεί να λάβει εντολές από το Predator μέσω IPC. Μερικές από τις επιβεβαιωμένες εντολές περιλαμβάνουν τη δημιουργία ηχογραφήσεων, την προσθήκη πιστοποιητικών CA και την απόκρυψη συγκεκριμένων εφαρμογών. Σε συσκευές iOS, το Predator μπορεί να δημιουργήσει επιμονή αξιοποιώντας τη δυνατότητα αυτοματισμού iOS.
Η αλυσίδα μόλυνσης των τριών αναλυόμενων καμπανιών επίθεσης Android ξεκινά με την παράδοση εφάπαξ συνδέσμων στους επιλεγμένους στόχους μέσω email. Οι σύνδεσμοι εμφανίζονται παρόμοιοι με αυτούς από υπηρεσίες συντόμευσης διευθύνσεων URL. Όταν ο στόχος κάνει κλικ στον παρεχόμενο σύνδεσμο, ανακατευθύνεται σε έναν κατεστραμμένο τομέα που ελέγχεται από τους εισβολείς. Εκεί, οι εγκληματίες του κυβερνοχώρου εκμεταλλεύονται τις ευπάθειες μηδέν και n-day για να παραβιάσουν τη συσκευή πριν ανοίξουν έναν νόμιμο ιστότοπο στο πρόγραμμα περιήγησης Ιστού του θύματος. Εάν ο αρχικός σύνδεσμος δεν είναι ενεργός, θα οδηγήσει απευθείας σε έναν νόμιμο προορισμό.
