Oprogramowanie szpiegujące ProSpy

Badacze cyberbezpieczeństwa odkryli wyrafinowaną kampanię szpiegowską na Androida, znaną jako ProSpy, która atakuje użytkowników w Zjednoczonych Emiratach Arabskich (ZEA), podszywając się pod popularne komunikatory, takie jak Signal i ToTok. Kampania wykorzystuje zwodnicze taktyki, aby nakłonić użytkowników do zainstalowania złośliwego oprogramowania, omijając oficjalne sklepy z aplikacjami.

Jak rozprzestrzenia się ProSpy

Szkodliwe oprogramowanie ProSpy jest rozpowszechniane za pośrednictwem fałszywych stron internetowych i technik socjotechnicznych, zachęcając użytkowników do ręcznego pobierania i instalowania zainfekowanych plików APK. Aplikacje te nie są dostępne w legalnych sklepach z aplikacjami, co sprawia, że ręczna instalacja z zewnętrznych źródeł jest koniecznością.

Kampania, po raz pierwszy zidentyfikowana w czerwcu 2025 roku i uważana za aktywną od 2024 roku, wykorzystuje strony internetowe podszywające się pod Signal i ToTok, aby oferować ukryte pliki APK. Pliki te są myląco przedstawiane jako aktualizacje, w tym pod nazwami takimi jak Signal Encryption Plugin i ToTok Pro.

Kontekst historyczny: Dlaczego ToTok stał się celem

Wykorzystanie ToToka jako przynęty jest szczególnie strategiczne. Aplikacja ToTok została usunięta z Google Play i Apple App Store w grudniu 2019 roku w związku z oskarżeniami, że służyła jako narzędzie inwigilacji dla rządu Zjednoczonych Emiratów Arabskich, gromadząc rozmowy użytkowników, dane o lokalizacji i inne dane osobowe.

Twórcy aplikacji ToTok konsekwentnie zaprzeczają tym oskarżeniom, przedstawiając usunięcie aplikacji jako manipulację rynkiem i twierdząc, że oprogramowanie nie szpieguje swoich użytkowników.

Możliwości złośliwych aplikacji

Aplikacje ProSpy zostały zaprojektowane tak, aby żądać szerokich uprawnień urządzenia, obejmujących dostęp do:

• Łączność
• Wiadomości SMS
• Pliki zapisane na urządzeniu

Oprogramowanie szpiegujące może wykradać poufne dane, w tym informacje o urządzeniu, kopie zapasowe czatów i listy zainstalowanych aplikacji. Badacze zauważyli również obecność innej rodziny oprogramowania szpiegującego na Androida działającej w tym samym czasie w regionie, co sugeruje skoordynowane działania.

Oszukańcze przekierowanie w celu zamaskowania złośliwej aktywności

Kampania obejmuje sprytne taktyki przekierowywania, które wzmacniają wiarygodność aplikacji:

ToTok Pro

• Aplikacja zawiera przycisk „KONTYNUUJ”, który kieruje użytkowników do oficjalnej strony pobierania ToTok.

• Kolejne wydania złośliwej aplikacji otwierają legalną aplikację ToTok, skutecznie ukrywając oprogramowanie szpiegujące.

• Użytkownicy mogą zauważyć na swoich urządzeniach dwie aplikacje (ToTok i ToTok Pro), które mogą budzić podejrzenia.

Wtyczka szyfrowania sygnału

• W tej aplikacji znajduje się przycisk „WŁĄCZ”, który kieruje użytkowników do oficjalnej witryny Signal.
• Po udzieleniu uprawnień ikona złośliwej aplikacji jest maskowana jako ikona Usług Google Play, co jeszcze bardziej maskuje jej obecność.
• Niezależnie od aplikacji, wyciek danych odbywa się po cichu, jeszcze zanim użytkownicy skorzystają z przycisków przekierowujących, co skutkuje naruszeniem bezpieczeństwa kontaktów, wiadomości, plików i innych poufnych informacji.

Wpływ regionalny i implikacje dla bezpieczeństwa

Kampania ProSpy uwypukla zagrożenia związane z ręczną instalacją aplikacji z nieoficjalnych źródeł oraz bieżące zagrożenia dla użytkowników w Zjednoczonych Emiratach Arabskich. Tego typu kampanie pokazują, w jaki sposób cyberprzestępcy wykorzystują historyczne kontrowersje i zaufanie do popularnych aplikacji, aby infiltrować urządzenia i kraść dane.