Gamaredon шпионит в Средней Азии, вооружившись Android-троянами

Татьяна Никитина 13 Декабря 2024 - 18:49

Таргетированные атаки

...

Gamaredon шпионит в Средней Азии, вооружившись Android-троянами

Злоумышленники атакуют владельцев Android-устройств, используя троянских шпионов BoneSpy и PlainGnome. Заражения зафиксированы в разных регионах, в том числе в среднеазиатских странах бывшего СНГ.

В Lookout связали текущую кампанию с Gamaredon, она же Aqua Blizzard, Iron Tilden, Primitive Bear, Winterflounder и Shuckworm. Ранее мобильных зловредов в арсенале APT-группы замечено не было.

Шпион BoneSpy, по данным экспертов, активен в интернете как минимум с 2021 года, PlainGnome объявился лишь в этом году.

О способах распространения можно лишь догадываться: обоих троянов выдают за легитимные приложения — индикатор заряда батареи, фотоальбом, Telegram, сейф Samsung Knox. Сведений о раздаче таких фейков через Google Play обнаружено не было.

Анализ образцов показал, что функционально вредоносы схожи, но кодовая база у них разная. Ветеран BoneSpy построен на основе opensource-проекта Droid-Watcher и выполнен как автономное приложение; младший собрат использует кастомный код и представляет собой дроппер, в который встроена целевая полезная нагрузка.

Для работы PlainGnome требуется разрешение на установку других приложений (REQUEST_INSTALL_PACKAGES). Кроме этого, дропперу мало что нужно; из средств самозащиты он использует только базовые проверки на наличие эмуляторов.

Инсталляцию второго компонента (более тяжелый APK, замаскированный под фотогалерею) инициирует жертва, тапнув единственную кнопку на экране-заставке. Пейлоад второй ступени минимально защищен от анализа и суммарно запрашивает 38 разрешений.

Богатый набор функций обоих троянов обеспечивает выполнение следующих действий:

попытки получения root-доступа к девайсу;
отслеживание местоположения;
сбор информации об устройстве и поставщике сотовой связи;
сбор пользовательских данных (СМС, уведомления, список контактов, история браузера, журнал звонков);
запись с микрофона;
фотоснимки с помощью штатной камеры;
скриншоты.

Судя по загрузкам на VirusTotal, список стран-мишеней включает Казахстан, Узбекистан, Киргизию и Таджикистан. Образцы, поданные на проверку из этих стран, были снабжены русскоязычными именами — Личный.apk, Альбом.apk, Фотоальбом.apk; среди них попался также galareya.apk.

Следующая главная новость »

Подписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Читайте также

Роскомнадзор заблокировал Viber

Яков Шпунт 13 Декабря 2024 - 21:31

Соответствие законодательству РФ Общее Системы контентной веб-фильтрации

Роскомнадзор ограничил доступ к мессенджеру Viber на территории России. Поводом стали нарушения законодательства. В прошлом Роскомнадзором неоднократно накладывал штрафы на разработчиков средства обмена сообщениями.

О блокировке Viber (полное название Rakuten Viber Messenger) регулятор сообщил в официальном телеграм-канале.

«Доступ к сервису Viber ограничен в связи с нарушением требований российского законодательства к организаторам распространения информации, выполнение которых необходимо для предотвращения угроз использования мессенджера в террористических и экстремистских целях, вербовки граждан для их совершения, продажи наркотиков, а также в связи с размещением противоправной информации», — заявило ведомство.

Ранее Viber уже был оштрафован Роскомнадзором. В июне 2023 года на 1 млн рублей, в марте 2024 года – на 800 тыс. рублей. Оба штрафа были наложены за неудаление запрещенной информации. Как заявил депутат Госдумы Антон Немкин, оба эти штрафа не были оплачены.

Viber существует с 2010 года. В 2014 году его приобрел нынешний владелец — японская компания Rakuten.

По данным «Медиаскоп», которые привело РБК, аудитория Viber составляет около 26% россиян, причем больше половины — ежедневно. По охвату он занимает третье место после Telegram и WhatsApp (принадлежит признанной экстремистской организацией и запрещенной в России корпорации Meta).