Zlonamerna programska oprema GhostChat za mobilne naprave

GhostChat je zlonamerna aplikacija za Android, ki se predstavlja kot platforma za klepet ali zmenke, hkrati pa na skrivaj deluje kot vohunska programska oprema. Njen glavni namen je zbiranje občutljivih podatkov iz okuženih naprav. Analiza kaže, da so glavne tarče uporabniki v Pakistanu. Če je aplikacija odkrita v napravi, je priporočljiva takojšnja odstranitev, saj nadaljnja prisotnost znatno poveča tveganje za krajo podatkov in širšo ogrožitev.

Zavajajoče vključevanje in lažno preverjanje pristnosti

Po namestitvi GhostChat agresivno zahteva dovoljenja za več naprav. Ko so jim ta odobrena, se uporabnikom prikaže prijavni vmesnik, ki očitno zahteva veljavne poverilnice. Ta postopek je popolnoma goljufiv, saj so domnevni podatki za preverjanje pristnosti trdo kodirani v aplikaciji in niso preverjeni prek legitimne storitve v ozadju. Korak prijave obstaja izključno zato, da ustvari iluzijo pristnosti.

Manipulativna interakcija z uporabniki in preusmeritev WhatsAppa

Po lažni prijavi aplikacija prikaže številne ženske profile s slikami, imeni in starostjo. Noben od teh profilov dejansko ni dostopen. Poskusi interakcije z njimi uporabnike pozovejo k vnosu »kode za odklepanje«. Vsak profil je povezan z določeno številko WhatsApp, vnos pričakovane kode pa povzroči, da aplikacija samodejno odpre WhatsApp in začne pogovor s to številko, kar podpira romantične prevare in dejavnosti socialnega inženiringa.

Tihi nadzor in neprekinjeno izkopavanje podatkov

GhostChat izvaja zlonamerne operacije v ozadju od trenutka zagona, še pred fazo prijave. Spremlja aktivnost naprave in posreduje zbrane podatke oddaljenemu strežniku za upravljanje in nadzor (C2). Zlonamerna programska oprema občasno skenira napravo za novo vsebino, samodejno nalaga fotografije in vsakih pet minut preverja novo ustvarjene ali shranjene dokumente. Obseg zbranih podatkov vključuje:

Identifikatorji naprav, seznami stikov, slike in dokumenti, kot so datoteke PDF, Word, Excel in PowerPoint

Deljena infrastruktura in veriga okužb namiznih računalnikov

Infrastruktura GhostChat C2 se uporablja tudi za distribucijo dodatnih zlonamernih komponent. Med njimi je datoteka DLL, povezana s ClickFixom, tehniko, zasnovano tako, da uporabnike zavede, da sami izvedejo zlonamerno programsko opremo z sledenjem izmišljenim navodilom. Ta metoda razširja grožnjo onkraj mobilnih naprav in omogoča okužbo namiznih sistemov.

Zloraba zaupanja vrednih identitet z lažnimi opozorili

Kampanje ClickFix, povezane z GhostChatom, se zanašajo na zavajajoča spletna mesta in ponarejena varnostna opozorila. V opazovanih primerih se napadalci izdajajo za pakistansko ekipo za odzivanje na računalniške izredne razmere in prikazujejo zaskrbljujoča sporočila o domnevnih grožnjah nacionalni infrastrukturi in vladnim omrežjem. Žrtve so pozvane, naj kliknejo gumb »Posodobi«, ki sproži prenos in izvajanje zlonamerne datoteke DLL. Ko je DLL aktiven, strežniku ukazov sporoči podrobnosti sistema, kot sta ime računalnika in uporabniško ime, večkrat preveri nadaljnja navodila in izvede prejete ukaze s programsko opremo PowerShell.

Prevzem računa WhatsApp prek prevar s QR kodami

Grožnje izvajajo tudi prevare, osredotočene na mobilne naprave, namenjene uporabnikom WhatsAppa. Žrtve zvabijo na goljufivo spletno mesto, ki trdi, da je povezano s pakistanskim ministrstvom za obrambo, in jih spodbujajo, da se pridružijo lažni skupnosti. Skeniranje posredovane kode QR poveže račun WhatsApp žrtve s spletnim ali namiznim računalnikom WhatsApp, ki je pod nadzorom napadalca. To omogoča poln dostop do klepetov in stikov, kar dejansko omogoča prevzem računa brez takojšnjega zavedanja uporabnika.

Strategija distribucije in zmanjševanje tveganj

GhostChat se distribuira izključno zunaj uradnih tržnic aplikacij. Promotira se kot aplikacija za zmenke ali sporočanje in se zanaša na taktike romantičnih prevar, da bi uporabnike prepričala, da ročno namestijo APK in omogočijo namestitev iz neznanih virov. Ko je zlonamerna programska oprema nameščena, takoj zahteva dovoljenja in začne prikrite vohunske dejavnosti. Te usklajene kampanje združujejo socialni inženiring, vohunsko programsko opremo in ugrabitev računov, da bi ogrozile tako mobilna kot namizna okolja. Bodite pozorni na neželene povezave, zaskrbljujoče pojavne okna, neuradne aplikacije in nepričakovane kode QR ostaja ključnega pomena za zaščito osebnih podatkov in uporabniških računov.