Pesquisadores de segurança da Trend Micro observaram três aplicativos maliciosos no Google Play que visam comprometer os dispositivos das vítimas e roubar informações do grupo SideWinder APT.
Os três aplicativos incluem “Camero, FileCryptManager e CallCam”, entre os três Camero está aquele que explora a vulnerabilidade de uso após livre CVE-2019-2215.
Este é o primeiro ataque detectado usando exploits CVE-2019-2215 que reside no Binder. Ao explorar esta vulnerabilidade, os invasores podem baixar arquivos sem interação do usuário.
Implantação de malware
Descobriu-se que os aplicativos estavam associados ao grupo SideWinder APT, grupo ativo desde 2012 e conhecido por atacar entidades militares Windows máquinas.
Esses aplicativos são postados no Google disfarçados de aplicativos de câmera e gerenciador de arquivos.
Camarão – Conta-gotas
FileCryptManager – Conta-gotas
CallCam – Carga útil final que rouba informações
SideWinder implanta a carga útil em dois estágios
Estágio 1 – Baixe o arquivo DEX do servidor C&C do invasor.
Estágio 2 – O arquivo DEX baixado baixa um APK que deve ser instalado após explorar o dispositivo ou empregar acessibilidade.
“Tudo isso é feito sem a conscientização ou intervenção do usuário. Para evitar a detecção, ele usa muitas técnicas, como ofuscação, criptografia de dados e invocação de código dinâmico”, diz uma postagem no blog da Trend Micro.
Antes de descartar a carga final, o conta-gotas tenta fazer root no telefone ou obter permissão de acessibilidade no dispositivo de destino.
Carga útil final – CallCam
Uma vez iniciado no dispositivo infectado, ele oculta o ícone e começa a coletar informações ao ser executado em segundo plano.
Ele criptografa os dados roubados usando algoritmos de criptografia RSA e AES e os envia para o servidor C&C do invasor. A seguir estão as informações que ele coleta.
- Localização
- Status da bateria
- Arquivos no dispositivo
- Lista de aplicativos instalados
- Informação de dispositivo
- Informações do sensor
- Informações da câmera
- Captura de tela
- Conta
- Informações de Wi-Fi
- Dados do WeChat, Outlook, TwitterE-mail do Yahoo, FacebookGmail e Chrome
Todos os três aplicativos estão ativos desde março de 2019 e foram removidos do Google Play agora.
Além disso, leia
A Microsoft lançou a versão final da linha de base de configuração de segurança para Windows 10 e Windows Servidor
Microsoft alerta sobre a nova campanha que fornece RAT FlawedAmmyy por meio de documentos MS Excel armados
Principal 3 Categorias que mais impactam ameaças cibernéticas e proteção contra ataques cibernéticos
