Раскрыты секреты шпионского тандема Predator – Alien для Android

Раскрыты секреты шпионского тандема Predator – Alien для Android

Раскрыты секреты шпионского тандема Predator – Alien для Android

Эксперты Cisco Talos и Citizen Lab опубликовали результаты анализа семпла шпионской программы Predator и ее загрузчика Alien. Как оказалось, «Хищник» и «Чужой» тесно взаимодействуют, пытаясь собрать информацию в обход штатных средств защиты Android.

По данным Cisco, коммерческий шпион Predator разработки израильской Intellexa (ранее Cytrox) применяется против правозащитников, журналистов, политиков как минимум с 2019 года. Мобильный зловред обладает гибкой архитектурой, обеспечивающей доставку новых Python-модулей без повторного эксплойта.

Существуют две версии вредоноса: для iOS и Android; для совместного исследования был выбран образец, заточенный под Android. Анализ показал, что он умеет записывать телефонные звонки, собирать информацию из мессенджеров, а также скрывать приложения и предотвращать их исполнение при загрузке ОС.

Функциональность Alien оказалась более богатой, чем у традиционных загрузчиков. Модуль внедряется в ключевой Android-процесс zygote64, скачивает с вшитого адреса библиотеку и дополнительные файлы Predator, активирует их и продолжает работать, обеспечивая взаимодействие шпионских компонентов.

При запуске Alien прежде всего определяет производителя зараженного устройства. Если это Samsung, Huawei, Oppo или Xiaomi, выполняется рекурсивное перечисление папок с этим именем — для последующей кражи пользовательских данных из браузеров, мессенджеров, клиентов имейл и соцсетей.

Вредоносный имплант умеет копировать содержимое конфигурационных файлов, списка контактов и телефонных вызовов, папок мультимедиа. Он также отвечает за обновление Predator , а для сокрытия его модулей ставит хуки на функцию ioctl() биндера Android.

Важной функцией шпиона является обход ограничений SELinux. Зловред использует контекст этого штатного механизма для получения доступа к нужным ему приложениям и файлам жертвы. Абьюз позволяет также скрывать вредоносные команды ioctl в системе: межпроцессное взаимодействие не входит в зону ответственности SELinux.

Многофункциональный модуль Alien также помогает Predator выводить краденые данные: он сохраняет их в общей области памяти перед записью на диск и последующей эксфильтрацией. Этот процесс тоже не вызывает подозрений у SELinux.

 

Сам Predator прибывает в систему в виде ELF-файла и создает среду выполнения Python, облегчающую шпионаж с помощью разнообразных модулей. Во взаимодействии с Alien зловред может выполнять произвольный код, вести аудиозапись, воровать данные, скрываться от обнаружения.

Интересной особенностью Predator является способность подменять SSL-сертификаты для перехвата зашифрованного трафика. Вредонос добавляет свой (кастомный) сертификат на уровне пользователя, чтобы не создавать помех нормальной работе устройства: подобное вмешательство могло бы выдать подмену.

Два модуля шпиона — tcore и kmem — извлечь и изучить не удалось. Первый предположительно используется для отслеживания местоположения зараженного устройства, второй позволяет зловреду повысить привилегии и получить доступ к пространству адресов ядра на чтение и запись.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Дипфейки Трампа и Маска активно используют в криптоскаме

Злоумышленники активно используют в рекламе мошеннических крипторесурсов дипфейки с участием медийных персон и политиков. Среди них замечены победитель президентских выборов в США Дональд Трамп, миллиардер Илон Маск, тележурналист Такер Карлсон, сооснователь блокчейн-платформы Ethereum Виталий Бутерин, футболист Криштиану Роналду, модель Ким Кардашьян.

Как отметили в F.A.C.C.T., что значительный рост курса криптовалют в последнюю неделю усиливает риски неудачливых инвесторов, которые польстятся на посулы криптоскамеров. Выручка мошенников за последние 13 месяцев может достигать 16 млн долларов.

Для генерации дипфейковых видео мошенники применяют как бесплатные, так и платные инструменты. В одном из мессенджеров специалисты F.A.C.C.T. обнаружили бот с широким выбором известных персон, который включает политиков, спортсменов, бизнесменов.

Предлагаемые дипфейки рассчитаны на англоязычную аудиторию и генерацию рекламы фейковых криптобирж и платформ обмена криптовалюты для TikTok, YouTube и международных соцсетей. Качество видео при этом имеет заметные изъяны: прежде всего это неестественная мимика.

 

Как отметили в F.A.C.C.T., мошенники используют три схемы: фейковые криптобиржи и обменники криптовалюты, дрейнеры и скам-токены. Сайт фейковой криптобиржи, которых в F.A.C.C.T. обнаружили около 600 с 2022 года, внешне почти ничем не отличается от оригинала.

Однако вывести свои средства потенциальная жертва уже не может, и все усилия злоумышленники тратят на то, чтобы инвестор внес депозит. По схожей схеме работают мошеннические криптовалютные обменники, которых в F.A.C.C.T. насчитали около 70. Рекламируются данные ресурсы через социальные медиа, включая YouTube и зарубежные соцсети.

Дрейнеры представляют собой программные зловреды, направленные на кражу средств с криптокошельков жертв. Задачей злоумышленников является заманить потенциальную жертву на сайт, где происходит заражение. Ссылки на такие ресурсы распространяют по электронной почте, через мессенджеры, рекламу в соцсетях и на видеохостингах.

Схема со скам-токеном построена на том, что созданный злоумышленниками цифровой актив вырастет в цене и его можно будет выгодно продать. На самом деле жертва может только купить токен, но никогда не сможет его продать.

Как показал анализ пяти относительно крупных преступных групп с активным участием русскоязычных мошенников, работающих по схеме с поддельными криптобиржами, для них средняя сумма хищения составляет 233 долл., а самая крупная сумма, украденная у одной жертвы, составила 26 958 долл. Сумма группировок, которая не ограничивается русскоязычной аудиторией, на порядок выше.

«Каждая схема криптоскама имеет свои особенности, которые влияют на её прибыльность, — комментирует Мария Синицына, старший аналитик департамента Digital Risk Protection компании F.A.C.C.T. — В случае с фейковыми криптобиржами жертве не обязательно иметь криптовалюту: её можно «приобрести» на той же бирже и оплатить банковской картой. Это значит, что пользователь потеряет только те деньги, которые решил вложить через биржу. В случае с дрейнерами со счёта жертвы выводят почти все средства из подключенного кошелька. Именно этим можно объяснить различия в средней сумме хищения по разным схемам криптоскама».

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru