Oprogramowanie szpiegujące ClayRat
Szybko rozwijająca się kampania szpiegowska na Androida, znana jako ClayRat, stała się poważnym zagrożeniem dla użytkowników, szczególnie w Rosji. Atakujący wykorzystują połączenie kanałów Telegram i imitujących je witryn phishingowych, podszywając się pod popularne aplikacje, takie jak WhatsApp, Zdjęcia Google, TikTok i YouTube, aby nakłonić ofiary do zainstalowania złośliwego oprogramowania.
Spis treści
Jak rozprzestrzenia się ClayRat
Łańcuch ataku rozpoczyna się, gdy niczego niepodejrzewający użytkownicy są przekierowywani na fałszywe strony internetowe, które linkują do kanałów Telegramu kontrolowanych przez atakujących. W tym przypadku ofiary są podstępnie nakłaniane do pobrania złośliwych plików APK poprzez:
- Sztucznie zawyżona liczba pobrań
- Sfabrykowane referencje twierdzące, że aplikacja jest popularna
Niektóre złośliwe witryny podszywają się pod ulepszone wersje popularnych aplikacji, np. YouTube Plus, i udostępniają pliki APK zaprojektowane w celu omijania zabezpieczeń w urządzeniach z systemem Android 13 i nowszym.
Niektóre próbki ClayRat działają jak droppery, prezentując lekką aplikację z fałszywym ekranem aktualizacji Sklepu Play. Prawdziwy ładunek jest zaszyfrowany i ukryty w zasobach aplikacji, co pozwala złośliwemu ominąć ograniczenia platformy i zwiększyć skuteczność instalacji.
Złośliwe możliwości
Po zainstalowaniu ClayRat aktywuje szereg inwazyjnych funkcjonalności:
- Wykrada wiadomości SMS, rejestry połączeń, powiadomienia i informacje o urządzeniu
- Robi zdjęcia przednim aparatem
- Wysyła wiadomości SMS lub wykonuje połączenia bezpośrednio z zainfekowanego urządzenia
- Zbiera listę wszystkich zainstalowanych aplikacji i wysyła ją do serwera Command-and-Control (C2)
Szkodliwe oprogramowanie agresywnie rozprzestrzenia się poprzez wysyłanie złośliwych linków do wszystkich kontaktów w książce telefonicznej ofiary, skutecznie zmieniając zainfekowane urządzenia w zautomatyzowane węzły dystrybucyjne.
Wyrafinowanie techniczne
Badacze bezpieczeństwa zaobserwowali ponad 600 próbek i 50 dropperów ClayRat w ciągu ostatnich 90 dni. Każda nowa iteracja dodaje kolejne warstwy maskowania, utrudniając wykrycie.
Komunikacja z infrastrukturą C2 opiera się na standardowych protokołach HTTP, a złośliwe oprogramowanie żąda od użytkowników, aby ustawili ją jako domyślną aplikację SMS, aby uzyskać dostęp do poufnych treści i funkcji wiadomości. Te możliwości pozwalają atakującym na prowadzenie inwigilacji i rozszerzenie zasięgu złośliwego oprogramowania bez konieczności ręcznej interwencji.
Środki ochronne
Pomimo swojej skuteczności, ClayRat jest chroniony przez Google Play Protect, domyślnie włączony na urządzeniach z Usługami Google Play. Play Protect automatycznie chroni użytkowników przed znanymi wersjami złośliwego oprogramowania.
ClayRat stanowi podwójne zagrożenie: szpieguje ofiary, jednocześnie przekształcając ich urządzenia w narzędzia do dalszej propagacji złośliwego oprogramowania. Połączenie socjotechniki, zaawansowanych technik unikania i zautomatyzowanej dystrybucji czyni go groźnym przeciwnikiem w świecie zagrożeń dla systemu Android.
