Nowe zagrożenie dla Androida: złośliwe oprogramowanie i ransomware w jednym ataku

Gdy cyberprzestępcy atakują urządzenia użytkowników, zazwyczaj infekują je jednym typem różnego rodzaju złośliwego oprogramowania: programem służącym do kradzieży informacji, koniem trojańskim umożliwiającym zdalny dostęp, tylnym wejściem lub zaszyfrowanym oprogramowaniem wymuszającym okup.

Rzadko się zdarza, aby wszystkie te funkcje były zintegrowane w jedną całość, a jeszcze rzadziej, aby były one ukierunkowane na urządzenia mobilne z systemem Android. Jednak badacze bezpieczeństwa z Zimperium odkryli właśnie to.

Mantax Otax

Firma ochroniarska Zimperium opublikowała szczegółowy raport na temat Mantax Otax , unikalnego szczepu złośliwego oprogramowania, który obecnie się rozprzestrzenia. Wygląda na to, że został on opracowany przez indonezyjskiego cyberprzestępcę i atakuje ofiary w tym kraju. Dokładna liczba zainfekowanych osób nie jest znana, podobnie jak to, czy kampania jest skierowana głównie do użytkowników biznesowych, czy ogólnie do osób prywatnych.

To złośliwe oprogramowanie jest dystrybuowane jako samodzielny plik APK, co oznacza, że ​​można je znaleźć w sklepach z aplikacjami innych firm, kanałach Telegramu, forach i mediach społecznościowych. Nie ma śladów Mantax Otax w żadnych oficjalnych repozytoriach aplikacji, w tym w Google Play Store ani w Samsung Galaxy Store. Zimperium spekuluje również, że prawdopodobnie jest ono dystrybuowane za pośrednictwem wiadomości phishingowych.

Mantax Otax atakuje głównie użytkowników starszych telefonów z Androidem. Wersje 9 i starsze są najbardziej narażone, ponieważ atakujący na tych urządzeniach mogą wykorzystać wszystkie funkcje złośliwego oprogramowania. Android 10 i nowsze wersje oferują pewien stopień ochrony.

Badacze wyjaśnili: „W przeciwieństwie do tego, na nowoczesnych urządzeniach z systemem Android 10 i nowszym , wrodzone mechanizmy obronne systemu operacyjnego, w szczególności ograniczenia Scoped Storage, znacznie ograniczają skuteczność złośliwego oprogramowania”. Dodali: „Z powodu tych zasad piaskownicy ransomware ogranicza się do skanowania wyłącznie zewnętrznego katalogu plików przeznaczonego dla aplikacji, co znacznie zmniejsza zakres szkód i ogranicza rozmiar dostępnych plików użytkownika”.

Nowsze urządzenia , a także użytkownicy rozwiązań Mobile Threat Defense (MTD) i Runtime Application Protection (zDefend) firmy Zimperium, są podobno chronieni na poziomie oprogramowania.

Kolejny kluczowy punkt dotyczy uprawnień. Jak to zwykle bywa na urządzeniach z Androidem, większość złośliwego oprogramowania działa tylko wtedy, gdy użytkownik uprzednio przyzna mu szeroki zakres uprawnień. W tym przypadku Mantax Otax najpierw żąda uprawnień administratora, a następnie przyznaje sobie szeroki zakres uprawnień, od dostępu do wiadomości SMS, kontaktów i plików audio po zdjęcia.

Następnie prosi o uprawnienia dostępu, dzięki czemu uzyskuje pełną kontrolę nad zainfekowanym urządzeniem.

złośliwe możliwości

Mantax Otax oferuje rozbudowane możliwości kradzieży danych i kontroli urządzeń. Kradnie historię przeglądarki, kontakty, rejestry połączeń, wiadomości SMS, powiadomienia , pliki, zawartość galerii, dane konta Google, specyfikacje urządzeń, dane o lokalizacji oraz listy zainstalowanych aplikacji. Potrafi również wydobyć informacje z WhatsApp, takie jak wiadomości i profile, a w Telegramie nawet wykraść kody PIN do ekranu blokady.

Oprócz możliwości kradzieży danych, narzędzie to działa również jako zdalne urządzenie monitorujące, przechwytując zrzuty ekranu, nagrywając ekran lub przesyłając go strumieniowo na żywo do atakujących. Może rejestrować obrazy zarówno za pomocą przedniej, jak i tylnej kamery, choć Zimperium nie wspomina o możliwości nagrywania z mikrofonu.

Po zebraniu wszystkich danych, pliki użytkownika są szyfrowane za pomocą algorytmu AES, oryginalne pliki są usuwane, a rozszerzenie .enc jest dodawane. Ofiarom udostępniany jest interfejs czatu, za pomocą którego mogą komunikować się bezpośrednio z atakującymi i negocjować okup w zamian za zwrot urządzeń.

Narzędzie wydaje się być w ciągłym rozwoju. Zimperium odkryło dwie oddzielne wersje, z których jedna stanowi „ewolucję” drugiej. Naukowcy zauważyli: „Warto wspomnieć, że zmodyfikowało ono zachowanie ruchu sieciowego, aby korzystać z protokołu WebSocket, i wprowadziło zestaw nowych poleceń”.

Istnieje powód, dla którego operatorzy ransomware wolą atakować firmy niż osoby prywatne. Chociaż osoby prywatne nie zniknęły całkowicie z listy ofiar, firmy ponoszą znaczne straty z powodu zakłóceń operacyjnych i dlatego często padają ofiarą ataków. Niestety, nie wiemy, pod jaki typ aplikacji podszywa się Mantax Otax, co utrudnia ocenę potencjalnych ofiar.