SURXRAT-haittaohjelma

SURXRAT on hienostunut Android-etäkäyttötroijalainen (RAT), jota levitetään haittaohjelma-palveluna (MaaS) Telegram-pohjaisen alustan kautta. Lähdekoodin analyysi ja toiminnalliset yhtäläisyydet viittaavat siihen, että se on todennäköisesti kehittynyt Arsink RATista. Android-laitteisiin tunkeutumiseen suunniteltu SURXRAT mahdollistaa laajamittaisen tietovarkauden, laitteiden etämanipulaation ja jopa täydellisen laitteiden lukitsemisen.

Rikollinen liiketoimintamalli: Jälleenmyyjä- ja kumppanijärjestelmät

SURXRAT kaupallistetaan kahden kertaluonteisen maksullisen tilaustason kautta, jotka on räätälöity rikollisen toiminnan eri tasoille:

Jälleenmyyjäsopimus : Sallii jopa kolme haittaohjelmakoontia päivässä ja mahdollistaa uudelleenjakelun operaattorin määrittämällä hinnoittelulla.

Kumppanisopimus : Sallii jopa kymmenen koontiversiota päivässä ja valtuuttaa ostajat perustamaan omia jälleenmyyjäverkostojaan.

Molemmat paketit sisältävät maksuttomia palvelinpäivityksiä, mikä vahvistaa tämän laittoman ekosysteemin jäsenneltyä ja skaalautuvaa luonnetta.

Tartuntatyönkulku ja käyttöoikeuksien väärinkäyttö

Suorituksen jälkeen SURXRAT pyytää aggressiivisesti riskialttiita käyttöoikeuksia, kuten pääsyä sijaintitietoihin, yhteystietoihin, tekstiviesteihin ja laitteen tallennustilaan. Kun käyttöoikeudet on myönnetty, haittaohjelma kehottaa uhria ottamaan käyttöön Androidin esteettömyyspalvelut. Tämä kriittinen vaihe antaa haitalliselle sovellukselle mahdollisuuden seurata näytön toimintaa ja suorittaa automatisoituja toimintoja käyttäjän tietämättä.

Vaadittujen käyttöoikeuksien hankkimisen jälkeen SURXRAT kerää laajan laitetiedusteludatan, mukaan lukien yhteystietoluettelot, tekstiviestien sisällön, puhelulokit, laitteen valmistajan ja mallin, Android-version, akun varaustason, SIM-kortin tiedot, verkkotiedot ja julkisen IP-osoitteen. Haittaohjelma ylläpitää jatkuvaa taustalla suoritettavaa toimintaa samalla, kun se ylläpitää viestintää komento- ja ohjausinfrastruktuurinsa (C2) kanssa. Se aktivoi myös erillisiä moduuleja, jotka vastaavat valvonnasta, järjestelmän hallinnasta ja tiedonkeruusta.

Valvonta- ja tiedonsiirto-ominaisuudet

SURXRAT tarjoaa operaattoreille laajan näkyvyyden vaarantuneisiin laitteisiin. Sen tietovarkausominaisuuksiin kuuluvat pääsy tekstiviesteihin, yhteystietoihin, puhelulokiin, asennettuihin sovelluksiin ja yksityiskohtaisiin järjestelmätietoihin. Haittaohjelma voi myös poimia Gmail-tilin tietoja, valvoa sijaintia reaaliajassa ja kerätä verkko- ja yhteystietoja.

Lisävalvontaominaisuuksiin kuuluvat ilmoitusten sieppaus, leikepöydän valvonta ja selaushistorian seuranta. Haittaohjelma voi tallentaa matkapuhelintornien tietoja, skannata käytettävissä olevia WiFi-verkkoja, kirjata yhteyshistorian ja käyttää kaikkia laitteen tiedostoja integroidun tiedostonhallintakomponentin kautta.

Etälaitteiden manipulointi ja häirintä

Vakoilun lisäksi SURXRAT antaa hyökkääjille täyden etähallinnan tartunnan saaneisiin laitteisiin. Ominaisuuksiin kuuluvat laitteen lukituksen avaaminen, puheluiden soittaminen, taustakuvien vaihtaminen, äänen toistaminen, keinotekoisen verkkoviiveen luominen, push-ilmoitusten lähettäminen ja laitteen pakottaminen avaamaan tiettyjä verkkosivustoja. Se voi myös aktivoida taskulampun, laukaista värinän ja lisätä mukautettua tekstiä näytölle.

Vakavammat toiminnot mahdollistavat käyttäjien lukita laitteen valitsemallaan PIN-koodilla tai poistaa tallennetut tiedot kokonaan. Uudempi versio esittelee internetin rajoitusmekanismin, joka hidastaa tarkoituksella uhrin yhteyttä. Tämä saavutetaan käynnistämällä massiivisen tiedoston lataus Hugging Face -palvelussa. Latausprosessi käynnistyy automaattisesti, kun tietyt pelisovellukset, mukaan lukien Free Firen erikoisversiot, ovat aktiivisia tai kun hyökkääjä määrittää vaihtoehtoisia kohdesovelluksia ohjauspalvelimen kautta.

Sisäänrakennettu kiristyshaittaohjelmien torjuntatoiminto

SURXRAT sisältää kiristysohjelmatyyppisen lukitusominaisuuden, joka näyttää koko näytön viestin ja suojaa laitteen PIN-koodilla. Hyökkääjät voivat vaatia maksua, seurata virheellisiä PIN-koodin syöttöyrityksiä reaaliajassa ja poistaa lukituksen etänä halutessaan. Tällaisia ominaisuuksia hyödynnetään yleisesti taloudelliseen kiristykseen.

Vaikutukset ja turvallisuusvaikutukset

Monipuolisena Android-uhkana SURXRAT yhdistää tietovarkaudet, vakoilun, etähallinnan ja kiristysohjelmaoperaatiot yhteen viitekehykseen. Uhrien seurauksiin voivat kuulua talouspetokset, identiteettivarkaudet, tilin vaarantuminen, yksityisyyden loukkaukset, toiminnan häiriöt ja lisääntynyt altistuminen toissijaisille kyberhyökkäyksille.

Android-haittaohjelmat, kuten SURXRAT, leviävät yleisesti harhaanjohtavien sovellusten kautta, joita ylläpidetään epävirallisilla markkinapaikoilla tai haitallisilla verkkosivustoilla. Uhkatoimijat naamioivat usein hyötykuormia laillisiksi sovelluksiksi, muokatuiksi peleiksi, krakatuiksi ohjelmistoiksi tai ohjelmistopäivityksiksi. Lähetysmenetelmiin kuuluvat myös tietojenkalastelulinkit, jotka lähetetään tekstiviestitse, sähköpostitse, sosiaalisen median ja viestialustojen kautta. Muissa kampanjoissa hyökkääjät hyödyntävät järjestelmän haavoittuvuuksia tai käyttävät haitallista mainontaa. Useimmissa tapauksissa onnistunut tartunta riippuu käyttäjän toiminnasta, joka tietämättään valtuuttaa haitallisen sovelluksen suorittamisen.