Τηλέφωνα Android έχουν προεγκατεστημένο το Mimic malware ως WhatsApp

Μια περίπλοκη επιχείρηση κλοπής κρυπτονομισμάτων, περιλαμβάνει ολοκαίνουργια Android smartphones που φτάνουν με προεγκατεστημένο το Mimic malware, που προσποιείται ότι είναι η επίσημη εφαρμογή WhatsApp.

Δείτε επίσης: Hackers διανέμουν το ViperSoftX malware μέσω cracked software

Κακόβουλοι φορείς έχουν διεισδύσει στην αλυσίδα εφοδιασμού αρκετών Κινέζων κατασκευαστών smartphone, ενσωματώνοντας κακόβουλο κώδικα απευθείας στις εφαρμογές συστήματος των συσκευών, προτού φτάσουν στους καταναλωτές.

Από τον Ιούνιο του 2024, το εργαστήριο ιών της Doctor Web έχει λάβει πολυάριθμες αναφορές από πελάτες που ανακάλυψαν ύποπτες εγκαταστάσεις του WhatsApp στα καινούργια τους Android τηλέφωνα, που ήταν στην πραγματικότητα το Mimic malware. Η έρευνα αποκάλυψε ότι δεν επρόκειτο για μεμονωμένα περιστατικά, αλλά για μέρος μιας συντονισμένης εκστρατείας που στοχεύει χρήστες κρυπτονομισμάτων μέσω μιας τεχνικής γνωστής ως «clipping».

Οι επηρεασμένες συσκευές είναι κυρίως οικονομικά smartphones με παραπλανητική ονομασία που μιμείται premium μοντέλα, όπως τα «S23 Ultra», «Note 13 Pro» και «P70 Ultra». Πολλές από τις παραβιασμένες συσκευές κατασκευάστηκαν υπό την επωνυμία SHOWJI, αν και πολλοί κατασκευαστές παραμένουν άγνωστοι.

Οι επιτιθέμενοι χρησιμοποίησαν το πλαίσιο LSPatch για να τροποποιήσουν την εφαρμογή WhatsApp χωρίς να αλλάξουν τον κύριο κώδικά της, φορτώνοντας επιπλέον κακόβουλες ενότητες.

Δείτε ακόμα: Οι αρχές συνέλαβαν πελάτες του Smokeloader malware

Το βασικό κακόβουλο στοιχείο, με την ονομασία com.whatsHook.apk, εκτελεί αρκετές κρίσιμες λειτουργίες που επιτρέπουν την κλοπή κρυπτονομισμάτων.

Σύμφωνα με την έκθεση της Dr. Web, το κακόβουλο λογισμικό καταλαμβάνει τη διαδικασία ενημέρωσης της εφαρμογής, ανακατευθύνοντας τους ελέγχους για νέες εκδόσεις από τον επίσημο διακομιστή της WhatsApp σε τομείς που ελέγχονται από τους επιτιθέμενους.

O βασικός μηχανισμός κλοπής του trojan περιλαμβάνει εξελιγμένες ρουτίνες ανάλυσης που σαρώνουν εισερχόμενα και εξερχόμενα μηνύματα για διευθύνσεις κρυπτονομισμάτων, με στόχο κυρίως το Tron (σειρές 34 χαρακτήρων που ξεκινούν με “T”) και το Ethereum (σειρές 42 χαρακτήρων που ξεκινούν με “0x”). Όταν εντοπίζονται, αυτές οι διευθύνσεις αντικαθίστανται σιωπηλά με πορτοφόλια που ελέγχονται από τον επιτιθέμενο, όπως τα TN7pfenJ1ePpjoPFaeu46pxjT9rhYDqW66 και 0x673dB7Ed16A13Aa137d39401a085892D5e1f0fCA.

Πέρα από την αλλοίωση διευθύνσεων πορτοφολιών, το κακόβουλο λογισμικό πραγματοποιεί συστηματική αναζήτηση στους καταλόγους αποθήκευσης της συσκευής, συμπεριλαμβανομένων των DCIM, PICTURES, DOWNLOADS και SCREENSHOTS, για αρχεία εικόνων.

Δείτε επίσης: Ψεύτικα πρόσθετα Microsoft Office ωθούν malware μέσω του SourceForge

Τα malware, ή αλλιώς κακόβουλα λογισμικά, είναι προγράμματα ή κώδικες που έχουν σχεδιαστεί με σκοπό να διεισδύουν σε υπολογιστικά συστήματα χωρίς τη γνώση ή τη συγκατάθεση του χρήστη, προκαλώντας ζημιές ή κλέβοντας δεδομένα. Μπορούν να μεταδοθούν μέσω του διαδικτύου, email, μολυσμένων αρχείων ή ακόμα και από εξωτερικές συσκευές αποθήκευσης. Τα malware μπορεί να έχουν διάφορες μορφές, όπως ιοί, worms, trojans, ransomware ή spyware. Κάθε είδος έχει διαφορετικό τρόπο λειτουργίας και στόχο, όπως την καταστροφή δεδομένων, την παρακολούθηση των κινήσεων του χρήστη, τον εκβιασμό με κρυπτογράφηση αρχείων ή την απόκτηση ελέγχου του συστήματος. Για την προστασία από malware, είναι σημαντική η χρήση λογισμικού ασφαλείας, η ενημέρωση των προγραμμάτων και η προσεκτική πλοήγηση στο διαδίκτυο.

Πηγή: cybersecuritynews