Predator Mobile Malware

Devlet destekli tehdit aktörleri, belirli hedeflerin mobil cihazlarına bulaşmak için Predator olarak izlenen bir mobil kötü amaçlı yazılım tehdidini kullanıyor. Predator tehdidinin kökenleri, Cytrox adlı ticari bir gözetim şirketiyle bağlantılıdır. CitizenLab'ın bulgularına göre Cytrox, ilk olarak Kuzey Makedonyalı bir start-up olarak kuruldu. O zamandan beri şirket İsrail ve Macaristan'da kurumsal bir varlık kurdu ve müşterilerine casus yazılım ve sıfır gün açıkları sağladığına inanılıyor. Google'ın TAG (Tehdit Analizi Grubu) tarafından hazırlanan bir rapor, bu tehdit aktörlerinin Mısır, Yunanistan, İspanya, Ermenistan, Fildişi Sahili, Madagaskar ve Endonezya dahil olmak üzere dünyanın birçok ülkesinde bulunduğunu doğruladı.

Predator hakkında ayrıntılar

Predator, hem iOS hem de Android cihazlara bulaşabilen bir casus yazılımdır. Tehdit, önceki aşamadaki bir yükleyici aracılığıyla cihazlara dağıtılır. Google TAG raporunda ayrıntıları verilen üç saldırı kampanyasında yükleyici, kendisini birden çok ayrıcalıklı sürece enjekte edebilen oldukça basit bir kötü amaçlı yazılım implantı olan ALIEN olarak tanımlandı. Tehdit oluşturulduktan sonra, IPC aracılığıyla Predator'dan komutlar alabilir. Onaylanan komutlardan bazıları, ses kayıtları yapma, CA sertifikaları ekleme ve belirli uygulamaları gizlemeyi içerir. iOS cihazlarda Predator, iOS otomasyon özelliğinden yararlanarak kalıcılık sağlayabilir.

Analiz edilen üç Android saldırı kampanyasının enfeksiyon zinciri, seçilen hedeflere e-posta yoluyla tek seferlik bağlantıların teslim edilmesiyle başlar. Bağlantılar, URL kısaltıcı hizmetlerinden gelenlere benzer görünüyor. Hedef sağlanan bağlantıya tıkladığında, saldırganlar tarafından kontrol edilen bozuk bir alana yönlendirilir. Orada, siber suçlular, kurbanın Web tarayıcısında meşru bir web sitesi açmadan önce cihazın güvenliğini aşmak için sıfır ve n günlük güvenlik açıklarından yararlanır. İlk bağlantı aktif değilse, doğrudan meşru bir hedefe yol açacaktır.