Μια νέα παραλλαγή του Android info-stealer που ονομάζεται FakeCop εντοπίστηκε από Ιάπωνες ερευνητές ασφαλείας, οι οποίοι προειδοποιούν ότι η διανομή του κακόβουλου APK επιταχύνεται.
Το malware που εντοπίστηκε για πρώτη φορά από τον Ιάπωνα ερευνητή ασφάλειας Yusuke Osumi την περασμένη εβδομάδα διανέμεται σε καμπάνιες phishing που υποδύονται το KDDI.
Επιπλέον, το malware εντοπίζεται μόνο από 22 από τις 62 μηχανές AV στο VirusTotal, δείχνοντας μια συντονισμένη προσπάθεια από τον απειλητικό παράγοντα να παραμείνει κρυφός.
Δείτε επίσης: Η Διεθνής Αμνηστία συνδέει εταιρεία cybersecurity με spyware
Δείτε επίσης: Ο Σεΐχης του Ντουμπάι χρησιμοποιεί το Pegasus spyware της NSO Group για να χακάρει την πρώην σύζυγό του
Καλυμμένο ως δημοφιλές εργαλείο ασφαλείας
Σε μια νέα έκθεση της εταιρείας κυβερνοασφάλειας Cyble, οι ερευνητές ονόμασαν το malware ως «FakeCop» και δήλωσαν ότι μεταμφιέζεται ως «Anshin Security», ένα δημοφιλές προϊόν antivirus στην Ιαπωνία.
Μετά την ανάλυση του malware, οι ερευνητές δηλώνουν ότι η νέα παραλλαγή spyware έχει τις ακόλουθες δυνατότητες:
- Συλλογή SMS, επαφές, πληροφορίες λογαριασμών και λίστα εφαρμογών
- Τροποποίηση ή διαγραφή των SMS στη βάση δεδομένων της συσκευής
- Συλλογή πληροφοριών device hardware (IMEI)
- Αποστολή SMS εν αγνοία του χρήστη
Το spyware ζητά από τον χρήστη να εκχωρήσει πολυάριθμα ευαίσθητα δικαιώματα για την εκτέλεση αυτής της λειτουργίας, όπως φαίνεται παρακάτω.
Όταν οι χρήστες συναντούν τέτοια αιτήματα από AV software, είναι πιο πιθανό να τα χορηγήσουν, επειδή το λογισμικό ασφαλείας συνήθως χρειάζεται υψηλότερα προνόμια για τη σάρωση και την αφαίρεση απειλών που έχουν εντοπιστεί.
Δείτε επίσης: iPhone 13: Η Apple δεν αντιμετωπίζει τις ανησυχίες για spyware
Προσπάθειες αποφυγής εντοπισμού
Οι δημιουργοί του malware χρησιμοποιούν και ένα προσαρμοσμένο πρόγραμμα για να αποκρύψουν την πραγματική συμπεριφορά της εφαρμογής τους, ενώ ταυτόχρονα εμποδίζουν τον εντοπισμό της.
Ο κακόβουλος κώδικας είναι κρυπτογραφημένος Bitwise XOR και αποθηκεύεται μέσα σε ένα αρχείο στον φάκελο στοιχείων και μπορεί να αποσυμπιεστεί μόνο εάν κληθεί από ένα συγκεκριμένο app subclass.
Επιπλέον, το FakeCop σαρώνει ενεργά τη λίστα εφαρμογών της συσκευής και εάν εντοπιστούν εφαρμογές antivirus, στέλνει μια ειδοποίηση στον χρήστη ζητώντας του να τις απεγκαταστήσει.
Οι λύσεις hardcoded AV που θα ζητήσουν από τους χρήστες να αφαιρέσουν το κακόβουλο λογισμικό περιλαμβάνουν το Anshin Security, το McAfee Security και το Docomo Anshin Scan.
Όσον αφορά τον τρόπο με τον οποίο το FakeCop προσεγγίζει τα θύματα, η έρευνα OSINT της Cyble αποκάλυψε δύο κανάλια διανομής, ένα μέσω SMS με κακόβουλα links και ένα που βασίζεται σε phishing emails.
Το free δυναμικό DNS «duckdns.org» που χρησιμοποιείται ως μηχανισμός παράδοσης έχει χρησιμοποιηθεί στο παρελθόν για τη διανομή Medusa και Flubot, επομένως είναι πιθανό η τρέχουσα καμπάνια να συνδέεται με τους ίδιους χειριστές.
Κατά γενικό κανόνα, αποφύγετε να κάνετε κλικ σε URL links που φτάνουν μέσω ανεπιθύμητων SMS και email και αποφύγετε την εγκατάσταση αρχείων APK εκτός του Google Play Store.
Επιπλέον, ελέγχετε και επιβεβαιώνετε περιοδικά ότι το Google Play Protect είναι ενεργό στη συσκευή σας και ελέγχετε πάντα τα αιτήματα άδειας κατά την εγκατάσταση μιας νέας εφαρμογής.
Πηγή πληροφοριών: bleepingcomputer.com
