SunBird Malware
Uma cepa de spyware do Android, anteriormente não descoberta, foi detectada pelos pesquisadores da Lookout, uma empresa de segurança cibernética. Acredita-se que essa ameaça específica tenha feito parte das operações ameaçadoras de um grupo APT (Advanced Persistence Threat) chamado Confucius. Este coletivo de hackers está ativo desde pelo menos 2013 e acredita-se que seja patrocinado pelo estado. Confúcio mostrou algumas conexões pró-indianas. Entre os alvos do grupo estão principalmente cidadãos paquistaneses, incluindo militares. Outras vítimas incluem agências nucleares e autoridades eleitorais indianas.
O SunBird foi implantado em uma série de ataques que ocorreram entre 2006 e 2019, quando a ameaça ainda estava em desenvolvimento ativo. Operações mais recentes associadas ao Confucius, em vez disso, implantaram o Hornbill, uma nova ameaça de spyware do Android que se sobrepõe em certas áreas à funcionalidade do SunBird. SunBird, no entanto, é a mais poderosa das duas ferramentas de malware com um conjunto maior de recursos de ameaça.
O código subjacente do SunBird parece ter pegado algumas dicas da base de código de uma ameaça de spyware mais antiga da Índia chamada BuzzOut. Como um vetor de violação inicial, os hackers usaram aplicativos móveis falsos hospedados em plataformas não oficiais. Para atrair os usuários a baixá-los, os aplicativos ameaçadores assumiram a identidade de agregadores de notícias locais, aplicativos relacionados a esportes, aplicativos focados no Islã e 'Google Security Framework'.
Uma vez dentro do dispositivo do alvo, o SunBird agia como um ladrão de dados e um RAT (Trojan de acesso remoto). A ameaça pode coletar dados confidenciais do WhatsApp, como documentos, bancos de dados e imagens e, em seguida, exfiltrá-los para seus servidores de comando e controle (C2, C&C) sem a necessidade de acesso root. Durante sua rotina de coleta de dados, o SunBird também coleta identificadores de dispositivos, listas de contatos, registros de chamadas, localização de GPS, histórico do navegador, conteúdo do BlackBerry Messenger e informações de calendário. O SunBird tentará obter privilégios de administrador que lhe permitirão tirar fotos e screenshots arbitrários, bem como gravar áudio.
Os invasores podem aproveitar os recursos RAT da SunBird para lançar ameaças de malware adicionais no dispositivo já comprometido.
