FastViewer

โดย Mezo ใน Mobile Malware, Remote Administration Tools

แปลเป็น:

Kimsuki APT (Advanced Persistent Threat) ยังคงขยายคลังอาวุธของเครื่องมือคุกคาม เชื่อว่ากลุ่มนี้มีความผูกพันกับเกาหลีเหนือ และอย่างน้อยตั้งแต่ปี 2555 ก็ได้กำหนดเป้าหมายไปยังบุคคลและองค์กรจากเกาหลีใต้ ญี่ปุ่น และสหรัฐอเมริกา แฮกเกอร์เชี่ยวชาญในแคมเปญการโจมตีจารกรรมทางอินเทอร์เน็ต พยายามแทรกซึมหน่วยงานที่ทำงานด้านสื่อ การวิจัย การทูตและภาคการเมือง

รายละเอียดเกี่ยวกับภัยคุกคามมัลแวร์ใหม่ของกลุ่ม Kimsuki (Thallium, Black Banshee, Velvet Chollima) ได้รับการเปิดเผยต่อสาธารณชนในรายงานโดยนักวิจัยด้านความปลอดภัยทางไซเบอร์ของ บริษัท รักษาความปลอดภัยทางไซเบอร์ของเกาหลีใต้ นักวิจัยสามารถระบุภัยคุกคามบนอุปกรณ์พกพาสามตัวที่ติดตาม ได้แก่ FastFire, FastViewer และ FastSpy

รายละเอียดทางเทคนิค FastViewer

ภัยคุกคาม FastViewer แพร่กระจายผ่านแอปพลิเคชัน 'Hancom Office Viewer' ที่แก้ไขแล้ว เครื่องมือซอฟต์แวร์ที่ถูกต้องคือโปรแกรมดูเอกสารบนมือถือที่อนุญาตให้ผู้ใช้เปิด Word, PDF, .hwp (Hangul) และเอกสารอื่นๆ แอปพลิเคชั่นจริงมีการดาวน์โหลดมากกว่า 10 ล้านครั้งบน Google Play Store แฮ็กเกอร์ Kimsuki ได้นำแอปพลิเคชัน Hancom Office Viewer ปกติมาทำแพ็กเกจใหม่เพื่อรวมโค้ดที่เสียหายตามอำเภอใจ ด้วยเหตุนี้ เวอร์ชันที่ติดอาวุธจึงมีชื่อแพ็กเกจ ชื่อแอปพลิเคชัน และไอคอนที่คล้ายกับแอปพลิเคชันจริงอย่างมาก FastViewer มาพร้อมกับใบรับรองในรูปแบบใบรับรองที่ใช้ jks Java

ระหว่างการติดตั้ง ภัยคุกคามจะใช้ประโยชน์จากการอนุญาตการเข้าถึงของ Android เนื่องจากจำเป็นเพื่ออำนวยความสะดวกในการดำเนินการที่เป็นอันตรายหลายอย่าง หากคำขอของมัลแวร์ได้รับอนุมัติ FastViewer จะสามารถรับคำสั่งจากผู้ปฏิบัติงาน สร้างกลไกการคงอยู่บนอุปกรณ์ที่ติดไวรัส และเริ่มกิจวัตรการสอดแนม

พฤติกรรมที่คุกคามของมัลแวร์จะเปิดใช้งานเมื่อใช้แอปพลิเคชันที่แก้ไขแล้วเพื่อสแกนเอกสารที่อาชญากรไซเบอร์ Kimsuki สร้างขึ้นเป็นพิเศษ ไฟล์จะถูกแปลงเป็นเอกสารปกติและแสดงให้ผู้ใช้เห็น ในขณะที่พฤติกรรมที่ทำร้ายจิตใจเกิดขึ้นในพื้นหลังของอุปกรณ์ ภัยคุกคามจะรวบรวมข้อมูลจำนวนมากจากอุปกรณ์และกรองข้อมูลไปยังเซิร์ฟเวอร์ Command-and-Control นอกจากนี้ หนึ่งในฟังก์ชันหลักของ FastViewer คือการดึงและปรับใช้ภัยคุกคาม Kimsuky ที่สามที่ระบุ - FastSpy เครื่องมือสร้างความเสียหายนี้แสดงคุณลักษณะหลายอย่างที่ค่อนข้างคล้ายกับมัลแวร์ RAT โอเพ่นซอร์สที่เรียกว่า AndroSpy