Cybergang Transparent Tribe rozprzestrzenia oprogramowanie szpiegujące dla Androida pod przykrywką popularnych aplikacji

Badacze z firmy Kaspersky zaprezentowali swoje ustalenia dotyczące nowej aplikacji szpiegującej dla systemu Android. Szkodnik jest rozsyłany w Indiach przez cybergang Transparent Tribe pod przykrywką treści dla dorosłych oraz oficjalnych aplikacji do monitorowania rozprzestrzeniania się COVID-19. Nowe odkrycia wskazują na to, że ugrupowanie Transparent Tribe próbuje znacznie rozszerzyć zakres swoich operacji.

 

Pandemia ciągle stanowi temat powszechnie wykorzystywany przez cyberprzestępców stosujących socjotechnikę. Żeruje na nim również Transparent Tribe – ugrupowanie cyberprzestępcze monitorowane przez firmę Kaspersky od ponad czterech lat.

Wyniki najnowszych badań pokazują, że ugrupowanie to aktywnie pracuje nad udoskonalaniem swojego zestawu narzędzi oraz rozszerzaniem zasięgu ataków na urządzenia przenośne. W wyniku wcześniejszego dochodzenia dotyczącego Transparent Tribe badacze z firmy Kaspersky wykryli nowy implant dla systemu Android wykorzystywany w dwóch wersjach przez cybergang do szpiegowania urządzeń przenośnych.

Pierwsza aplikacja stanowi zmodyfikowaną wersję prostego, ogólnodostępnego odtwarzacza wideo dla systemu Android, który po zainstalowaniu wyświetla film dla dorosłych w celu zmylenia użytkownika. Druga zainfekowana aplikacja nosi nazwę “Aarogya Setu”, która przypomina nazwę mobilnej aplikacji do monitorowania rozprzestrzeniania się COVID-19, opracowanej przez Krajowe Centrum Informatyki indyjskiego rządu podlegającego Ministerstwu ds. Elektroniki oraz Technologii Informatycznych.

Po pobraniu obie aplikacje próbują zainstalować na smartfonie zmodyfikowaną wersję szkodliwego narzędzia zdalnej administracji AhMyth. Modyfikacja szkodnika różni się od oryginału funkcjonalnością. Zawiera nowe funkcje dodane przez członków gangu Transparent Tribe w celu udoskonalenia możliwości związanych z wyprowadzaniem skradzionych danych, jednak brakuje w niej niektórych podstawowych funkcji, takich jak gromadzenie zdjęć z aparatu smartfonu. Aplikacja potrafi pobierać na telefon nowe programy, uzyskiwać dostęp do wiadomości SMS, mikrofonu, historii połączeń, śledzić lokalizację urządzenia oraz przesyłać pliki z telefonu do zewnętrznego serwera.

Nowe ustalenia wskazują na próby dodawania przez członków ugrupowania Transparent Tribe do swojego arsenału kolejnych narzędzi, które pozwalają rozszerzyć zakres operacji i atakować ofiary za pośrednictwem różnych wektorów, wśród których obecnie znajdują się także urządzenia przenośne. Można również zaobserwować, że ugrupowanie to nieustannie pracuje nad udoskonalaniem i modyfikowaniem wykorzystywanych narzędzi. Aby zabezpieczyć się przed takimi zagrożeniami, użytkownicy muszą zwracać jeszcze większą uwagę na źródła, z których pobierają treści, oraz dbać o to, aby ich urządzenia były należycie zabezpieczone. Dotyczy to szczególnie tych osób, które – na przykład z racji wykonywanej pracy – mogą być na celowniku zaawansowanych ugrupowań cyberprzestępczych – powiedział Giampaolo Dedola, starszy badacz ds. cyberbezpieczeństwa w Globalnym Zespole ds. Badań i Analiz (GReAT) firmy Kaspersky.

Szczegółowe informacje dot. wskaźników infekcji (IoC) związanych z tym ugrupowaniem są dostępne w serwisie Kaspersky Threat Intelligence Portal.

Dalsze informacje dotyczące opisywanego zagrożenia są dostępne na stronie https://r.kaspersky.pl/KywvW.

Badacze z firmy Kaspersky przedstawią więcej informacji na temat aktywności opisywanego cybergangu już wkrótce podczas webinarium “GReAT Ideas. Powered by SAS: advancing on new fronts – tech, mercenaries and more”, które odbędzie się 26 sierpnia o godz. 16:00. Bezpłatna rejestracja jest dostępna na stronie https://kas.pr/v1oj.