Android/Spy23C.A
O Android / Spy23C.A é uma ameaça de Trojan para o Android, projetada para se infiltrar e coletar vários dados confidenciais de dispositivos móveis Android. De acordo com os pesquisadores que a analisaram, essa ameaça específica não é totalmente única. Em vez disso, ele representa uma versão modificada com funcionalidade amplamente expandida da ameaça Android detectada anteriormente que foi observada como parte do repertório de um grupo de Ameaça Persistente Avançada (APT) chamado APT-C-23 (também conhecido como Escorpião de Duas Caudas ou Escorpião do Deserto ) As campanhas de ameaças anteriores do APT-C-23 foram direcionadas aos usuários no Oriente Médio e o Android/Spy23C.A foi empregado da mesma maneira.
O Android/Spy23C.A é Muito Mais Potente do que as Versões Anteriores
Para realizar suas atividades de coleta de dados, o Android/Spy23C.A primeiro precisa convencer o usuário-alvo a conceder-lhe várias permissões bastante invasivas. Esse pode ser o motivo pelo qual os criadores do Trojan decidiram usar aplicativos de mensagens como um disfarce plausível. Os enganosos truques de engenharia social começam antes mesmo da instalação propriamente dita, pois o Android/Spy23C.A vai pedir permissão para gravar áudio e vídeo, tirar fotos, ler e enviar SMS, bem como ler e modificar contatos no dispositivo. Após a instalação, a ameaça se aproveitará do usuário desavisado para expandir ainda mais seu controle sobre o dispositivo, adquirindo permissões adicionais, mas desta vez escondendo suas verdadeiras intenções por trás de pretextos enganosos para vários recursos. Por exemplo, o Trojan informa ao usuário que pode realizar Chats de Vídeo Privados, mas, na realidade, será capaz de gravar a tela do dispositivo. Em outra instância, o usuário será solicitado a permitir o Message Encryption, o que fará com que o Android/Spy23C.A adquira a capacidade de ler as notificações do usuário.
Para ocultar sua presença e atividade prejudicial, esse Trojan solicita que suas vítimas instalem o aplicativo de mensagens legítimo manualmente após ser executado. O resultado é que o usuário tem acesso ao aplicativo real com todas as suas funções, enquanto o Android/Spy23C.A coleta dados em segundo plano, sem atrair muita atenção silenciosamente. Em alguns casos, no entanto, quando o Trojan está se mascarando como WeMessage, AndroidUpdate e outros, os aplicativos baixados pelas vítimas servem apenas como uma distração, sem ter nenhuma funcionalidade real.
O Android/Spy23C.A possui todos os recursos das versões anteriores usadas pelo APT-C-23. Ele pode exfiltrar registros de chamadas, SMS, contatos, manipular arquivos no dispositivo, desinstalar qualquer aplicativo, coletar arquivos com extensões específicas, gravar áudio e tirar fotos. A já impressionante gama de habilidades agora foi expandida para incluir várias novas funções poderosas. O Android/Spy23C.A pode fazer chamadas enquanto exibe uma tela preta no dispositivo para ocultar sua atividade. Para ocultar ainda mais sua presença, a ameaça é capaz de dispensar várias notificações de aplicativos de segurança dependendo do fabricante específico do dispositivo móvel, bem como descartar suas próprias notificações, um recurso bastante único que, de acordo com os especialistas em ciber-segurança, pode ser usado para ocultar mensagens de erro específicas que podem surgir durante as operações do Trojan.
O Android/Spy23C.A é Distribuído por meio de uma Loja de Aplicativos Falsos
Como mencionado anteriormente, a principal estratégia do Android/Spy23C.A é se passar por um aplicativo de mensagem legítimo. Para entregá-los aos usuários-alvo, o grupo de hackers criou uma loja de aplicativos Android falsos e escondeu os aplicativos ameaçadores entre vários legítimos. Os aplicativos específicos que carregam a ameaça são AndroidUpdate, Threema e Telegram. Para limitar as chances de downloads acidentais por alvos não intencionais, os criminosos colocaram uma medida de verificação - os usuários são obrigados a inserir um código de cupom de seis dígitos para iniciar o download dos aplicativos ameaçadores.
A loja de aplicativos falsos não é o único método de distribuição empregado pelo APT-C-23, evidenciado pelo fato de que sua ferramenta de Trojan foi vista como o aplicativo WeMessage, que não está entre os aplicativos disponíveis na loja falsa. Em uma decisão bastante estranha, parece que os hackers criaram seus próprios gráficos e IU personalizados, já que o aplicativo impostor não compartilha nenhuma semelhança com o aplicativo WeMessage legítimo, além do nome.
