CapraRAT

De CapraRAT-dreiging is een volledig uitgeruste Android RAT (Remote Access Trojan) die is ontworpen om te worden ingezet als onderdeel van cyberspionage-aanvallen. Details over deze specifieke dreiging werden onthuld in een rapport gepubliceerd door de onderzoekers van Trend Micro. Hun analyse heeft een significante mate van crossover aangetoond tussen CapraRAT en een eerder geïdentificeerde bedreiging die bekend staat als Crimson RAT.

De Crimson RAT wordt toegeschreven en waargenomen als onderdeel van de bedreigende operaties van een APT-groep (Advanced Persistent Threat), gevolgd als Earth Karkaddan. Dezelfde groep hackers kan ook worden aangetroffen als APT36, Operation C-Major, PROJECTM, Mythic Leopard en Transparent Tribe.

Technische details

CapraRAT is een andere op maat gemaakte Android RAT die nu deel uitmaakt van het dreigende arsenaal van de groep. De dreiging is hoogstwaarschijnlijk gebaseerd op social engineering-tactieken en phishing-links om de eerste toegang tot het apparaat van het slachtoffer te krijgen. Om gebruikers af te schrikken, wordt de beschadigde payload vermomd en verspreid als een YouTube-toepassing.

In de kern lijkt CapraRAT te zijn gebaseerd op een open-source RAT-bedreiging genaamd AndroRAT. Als zodanig is het uitgerust met tal van intrusieve functies die verband houden met het oogsten en de daaropvolgende exfiltratie van gegevens. CapraRAT kan de geolocatie van het slachtoffer oogsten, telefoonlogboeken verkrijgen en contactgegevens extraheren.

Aanvalsgeschiedenis

De APT36-groep is actief geweest in operaties gericht op Indiase militaire en diplomatieke entiteitenconsequent. De eerste concrete tekenen van zijn aanwezigheid werden al in 2016 waargenomen, bij een aanval op het verzamelen van informatie tegen Indiase militairen en regeringspersoneel. In 2018 voerde de groep een Android-spywaredreiging uit tegen mensenrechtenactivisten in Pakistan met de bedoeling telefoontjes en berichten te onderscheppen, foto's te verduisteren en hun bewegingen te volgen. In 2020 hebben de hackers hun aasberichten aangepast om nu militaire of COVID-19-gerelateerde kunstaas te bevatten en gebruikten ze om een aangepaste versie van een andere Android RAT, bekend als AhMyth, te droppen.