ClayRat Spyware

O campanie de spyware pentru Android, aflată în continuă evoluție, cunoscută sub numele de ClayRat, a devenit o amenințare semnificativă pentru utilizatori, în special în Rusia. Atacatorii exploatează o combinație de canale Telegram și site-uri web de phishing similare, dându-se drept aplicații populare precum WhatsApp, Google Photos, TikTok și YouTube pentru a atrage victimele să instaleze malware-ul.

Cum se răspândește ClayRat

Lanțul de atac începe atunci când utilizatorii neavizați sunt redirecționați către site-uri web frauduloase care fac trimitere la canale Telegram controlate de atacatori. Aici, victimele sunt păcălite să descarce fișiere APK rău intenționate prin:

• Număr de descărcări umflat artificial
• Mărturii fabricate care pretind popularitatea aplicației

Unele site-uri rău intenționate se maschează drept versiuni îmbunătățite ale unor aplicații populare, cum ar fi YouTube Plus, și găzduiesc fișiere APK concepute pentru a ocoli măsurile de securitate de pe dispozitivele care rulează Android 13 și versiuni ulterioare.

Anumite mostre ClayRat funcționează ca niște dropper-uri, prezentând o aplicație ușoară cu un ecran fals de actualizare din Magazinul Play. Sarcina utilă reală este criptată și ascunsă în resursele aplicației, permițând malware-ului să ocolească restricțiile platformei și să crească ratele de succes ale instalării.

Capacități rău intenționate

Odată instalat, ClayRat activează o serie de funcționalități intruzive:

• Extrage mesaje SMS, jurnalele de apeluri, notificările și informațiile despre dispozitiv
• Face fotografii folosind camera frontală
• Trimite mesaje SMS sau efectuează apeluri direct de pe dispozitivul infectat
• Colectează o listă cu toate aplicațiile instalate și o trimite serverului de comandă și control (C2)

De asemenea, malware-ul se propagă agresiv prin trimiterea de linkuri malițioase către fiecare contact din agenda telefonică a victimei, transformând efectiv dispozitivele compromise în noduri de distribuție automate.

Sofisticare tehnică

Cercetătorii în domeniul securității au observat peste 600 de mostre și 50 de dropper-uri de ClayRat în ultimele 90 de zile. Fiecare nouă iterație adaugă straturi de ofuscare, ceea ce face detectarea mai dificilă.

Comunicarea cu infrastructura C2 se bazează pe protocoale HTTP standard, iar malware-ul solicită utilizatorilor să o seteze ca aplicație SMS implicită pentru a obține acces la conținut sensibil și funcții de mesagerie. Aceste capabilități permit atacatorilor să efectueze supraveghere și să extindă raza de acțiune a malware-ului fără intervenție manuală.

Măsuri de protecție

În ciuda potenței sale, ClayRat este atenuat de Google Play Protect, care este activat în mod implicit pe dispozitivele cu servicii Google Play. Play Protect protejează automat utilizatorii de versiunile cunoscute ale malware-ului.

ClayRat reprezintă o amenințare dublă: spionează victimele, transformându-le simultan dispozitivele în instrumente pentru propagarea ulterioară a programelor malware. Combinația sa de inginerie socială, tehnici avansate de evitare a atacurilor și distribuție automată îl face un adversar formidabil în peisajul amenințărilor Android.