FastViewer

Đến năm Mezo năm Mobile Malware, Remote Administration Tools

Dịch sang:

Kimsuki APT (Mối đe dọa liên tục nâng cao) tiếp tục mở rộng kho công cụ đe dọa của mình. Nhóm này được cho là có quan hệ với Triều Tiên và ít nhất là từ năm 2012, đã nhắm mục tiêu vào các cá nhân và tổ chức từ Hàn Quốc, Nhật Bản và Mỹ. các lĩnh vực ngoại giao và chính trị.

Thông tin chi tiết về các mối đe dọa phần mềm độc hại mới của nhóm Kimsuki (Thallium, Black Banshee, Velvet Chollima) đã được công bố trong một báo cáo của các nhà nghiên cứu an ninh mạng tại một công ty an ninh mạng của Hàn Quốc. Các nhà nghiên cứu có thể xác định ba mối đe dọa di động được theo dõi là FastFire, FastViewer và FastSpy.

Chi tiết kỹ thuật FastViewer

Mối đe dọa FastViewer được lan truyền qua ứng dụng 'Hancom Office Viewer' đã được sửa đổi. Công cụ phần mềm hợp pháp là trình xem tài liệu di động cho phép người dùng mở Word, PDF, .hwp (Hangul) và các tài liệu khác. Ứng dụng thực có hơn 10 triệu lượt tải xuống trên Cửa hàng Google Play. Các tin tặc Kimsuki đã lấy ứng dụng Hancom Office Viewer bình thường và đóng gói lại để bây giờ bao gồm mã bị hỏng tùy ý. Do đó, phiên bản vũ khí hóa có tên gói, tên ứng dụng và biểu tượng cực kỳ giống với ứng dụng thực. FastViewer được trang bị chứng chỉ ở định dạng chứng chỉ dựa trên Java jks .

Trong quá trình cài đặt, mối đe dọa sẽ khai thác quyền truy cập của Android, vì chúng cần thiết để tạo điều kiện cho nhiều hành động đe dọa của nó. Nếu các yêu cầu của phần mềm độc hại được chấp thuận, FastViewer sẽ có thể nhận lệnh từ các nhà điều hành của nó, thiết lập cơ chế duy trì trên thiết bị bị nhiễm và bắt đầu quy trình gián điệp.

Hành vi đe dọa của phần mềm độc hại được kích hoạt khi ứng dụng đã sửa đổi được sử dụng để quét tài liệu do tội phạm mạng Kimsuki tạo ra đặc biệt. Tệp sẽ được chuyển đổi thành tài liệu bình thường và hiển thị cho người dùng, trong khi hành vi gây tổn hại diễn ra trong nền của thiết bị. Mối đe dọa sẽ thu thập nhiều thông tin từ thiết bị và chuyển nó đến máy chủ Command-and-Control của nó. Ngoài ra, một trong những chức năng chính của FastViewer là tìm nạp và triển khai mối đe dọa Kimsuky thứ ba được xác định - FastSpy. Công cụ gây hại này có nhiều đặc điểm khá giống với phần mềm độc hại RAT mã nguồn mở, được gọi là AndroSpy.