Společnost Kaspersky identifikovala doposud neznámý vzorek spywaru útočícího na Android. Tento škodlivý modul byl vložen do cestovatelské aplikace určené pro uživatele z Indie.
Podrobnější analýza odhalila, že by mohl mít souvislost s GravityRAT, špionážním Remote Access Trojanem (RAT), který byl již dříve aktivní na území Indie. Jeho tvůrci se z něj zároveň s největší pravděpodobností snažili udělat multiplatformní nástroj – kromě útoků na operační systémy Windows je nyní schopný útočit i na Android a Mac OS.
V roce 2018 uveřejnili odborníci na kybernetickou bezpečnost přehled vývoje hrozby označené GravityRAT. Tento nástroj byl použit v útocích proti indickým vojenským cílům. Z dat společnosti Kaspersky vyplývá, že je tato kampaň aktivní přinejmenším od roku 2015, přičemž se zaměřuje hlavně na operační systém Windows. Před pár lety se ale situace změnila. Skupina totiž začala útočit i na zařízení s operačním systémem Android.
Nově identifikovaný modul je této změny důkazem, ale zároveň se objevila řada důvodů, proč nepřipomínal typický vzorek spywaru pro Android. Například je nutné pro spuštění škodlivých funkcí vybrat konkrétní aplikaci. Škodlivý kód se zároveň nezakládá na kódu dříve známých spywarových aplikací. Proto se odborníci z Kaspersky rozhodli porovnat modul s již známými rodinami APT hrozeb.
Celkem bylo objeveno více než 10 verzí GravityRAT
Analýza použitých C&C adres odhalila několik dalších škodlivých modulů souvisejících s tvůrci GravityRAT. Celkem bylo objeveno více než 10 verzí GravityRAT, které se na první pohled tváří jako legitimní aplikace, jako jsou například aplikace pro bezpečné sdílení souborů (chránicí uživatelská zařízení před šifrováním trojskými koňmi) nebo přehrávače médií. Společně umožnily tyto moduly skupině proniknout do zařízení s Windows, MacOS a Android.
Výčet funkcí tohoto škodlivého softwaru byl ve většině případů standardní a pro spyware typický. Moduly jsou schopné získat data ze zařízení, seznamy kontaktů, e-mailové adresy, záznamy hovorů a SMS zprávy. Některé trojské koně také vyhledávaly soubory s příponami .jpg, .jpeg, .log, .png, .txt, .pdf, .xml, .doc, .xls, .xlsx, .ppt, .dockx a .opus.
„Naše investigace ukázala, že aktér stojící za GravityRAT neustále investuje do svých špionážních kapacit. I kvůli chytrému maskování a rozšířenému portfoliu OS, na které mohou útočit, se obáváme, že brzy v regionu APAC uvidíme další útoky tímto malwarem. Zároveň toto zjištění také podtrhává současný trend, kdy kyberzločinci nemusí nutně vyvíjet nový malware, ale vylepšovat již existující,“ komentuje Taťána Shishkova, bezpečnostní odbornice společnosti Kaspersky.
