ESET Research раскрывает новые шпионские программы APT-C-23 group для Android, замаскированные под Threema и Telegram

Исследователи ESET начали исследовать вредоносное ПО, когда один из коллег-исследователей написал в твиттере о неизвестном, малоизученном образце вредоносного ПО Android в апреле 2020 года. "Совместный анализ показал, что эта вредоносная программа была частью арсенала APT-C-23 – новой, улучшенной версии их мобильных шпионских программ”, - объясняет Лукаш Штефанко, исследователь ESET, который анализировал Android/SpyC23.A.

Шпионское ПО было обнаружено скрывающимся за кажущимися законными приложениями в поддельном магазине приложений для Android. - Когда мы проанализировали фальшивый магазин, он содержал как вредоносные, так и чистые предметы. Вредоносная программа скрывалась в приложениях, выдавающих себя за AndroidUpdate, Threema и Telegram. В некоторых случаях жертвы заканчивают тем, что у них установлена как вредоносная программа, так и выданное себя за приложение”, - комментирует Штефанко.

После установки вредоносная программа запрашивает ряд конфиденциальных разрешений, замаскированных под функции безопасности и конфиденциальности. "Злоумышленники использовали методы социальной инженерии, чтобы обманом заставить жертв предоставить вредоносному ПО различные конфиденциальные права. Например, разрешение на чтение уведомлений маскируется под функцию шифрования сообщений", - уточняет Штефанко.

После инициализации вредоносная программа может выполнять целый ряд шпионских действий, основанных на командах с ее сервера C&C. Помимо записи аудио; эксфильтрации журналов вызовов, SMS и контактов; и кражи файлов, обновленный Android/SpyC23.A также может считывать уведомления из приложений обмена сообщениями, делать записи экрана и звонков, а также отклонять уведомления из некоторых встроенных приложений безопасности Android. C&C-коммуникация вредоносного ПО также подверглась обновлению, что сделало сервер C&C более трудным для идентификации исследователями безопасности.

Известно, что группа APT-C-23 использовала в своей работе как Компоненты Windows, так и Android, причем компоненты Android впервые были описаны в 2017 году компанией Qihoo 360 Technology под названием Two-tailed Scorpion. С тех пор были опубликованы многочисленные анализы мобильных вредоносных программ APT-C-23. Android / SpyC23.A-последняя шпионская версия группы-имеет несколько улучшений, делающих ее еще более опасной для жертв.

“Чтобы обезопасить себя от шпионских программ, мы рекомендуем пользователям Android устанавливать приложения только из официального магазина Google Play, дважды проверять требуемые разрешения и использовать надежное и современное решение для мобильной безопасности”,-заключает Штефанко.

Для получения более подробной технической информации об этом шпионском программном обеспечении читайте в блоге ”APT-C-23 group evolves its Android spyware" на сайте WeLiveSecurity. Следите за последними новостями ESET Research в Twitter.