Шпионское ПО предположительно связано с хакерской группировкой Turla.
https://www.securitylab.ru/upload/ib...8b86ae2fef.jpg
Специалисты компании Lab52 смогли связать ранее неизвестное вредоносное ПО для Android-устройств с хакерской группировкой Turla. Исследователи обнаружили, что приложение использовало инфраструктуру, ранее уже связанную с Turla.
Эксперты выявили вредоносный APK Process Manager, играющий роль шпионского ПО для Android-устройств, которое отправляет данные с них хакерам.
Каким образом происходит заражение, пока неясно. Как правило, Turla распространяет свои вредоносные инструменты с помощью фишинговых атак, социальной инженерии, атак watering hole (заражение вредоносным ПО через взломанные сайты, посещаемые жертвой) и пр.
После установки Process Manager пытается скрыть свое присутствие на устройстве с помощью иконки в виде шестеренки, выдавая себя за системный компонент.
После первого запуска приложение получает 18 разрешений:
<ul><li>Доступ к данным о местоположении;</li>
</ul><ul><li>Доступ к статусу сети;</li>
</ul><ul><li>Доступ к статусу Wi-Fi;</li>
</ul><ul><li>Доступ к камере;</li>
</ul><ul><li>Доступ к интернету;</li>
</ul><ul><li>Разрешение на изменение настроек аудио;</li>
</ul><ul><li>Разрешение на чтение журналов звонков;</li>
</ul><ul><li>Разрешение на чтение списков контактов;</li>
</ul><ul><li>Разрешение на чтение данных во внешних хранилищах;</li>
</ul><ul><li>Разрешение на запись данных во внешние хранилища;</li>
</ul><ul><li>Разрешение на чтение статуса телефона;</li>
</ul><ul><li>Разрешение на чтение SMS-сообщений;</li>
</ul><ul><li>Разрешение на запись аудио;</li>
</ul><ul><li>Разрешение на отправку SMS-сообщений и пр.</li>
</ul>
Пока непонятно, использует ли вредонос сервис Android Accessibility, чтобы получить разрешения, или запрашивает их у пользователя.
Получив разрешения, шпионская программа удаляет свою иконку и запускается в фоновом режиме. Однако о ее присутствии свидетельствует постоянное уведомление, что нехарактерно для шпионского ПО, главной задачей которого является сокрытие своего присутствия на устройстве.
В ходе анализа вредоносного ПО команда Lab52 также обнаружила, что оно загружает дополнительные полезные нагрузки на устройство, и в одном случае приложение даже было загружено непосредственно из Play Store.
Приложение называется Roz Dhan: Earn Wallet cash (10 млн загрузок) и имеет реферальную систему генерирования денег.
Похоже, что вредонос загружает APK через реферальную систему приложения с целью получения комиссионных. Это очень странно, поскольку Turla специализируется на кибершпионаже.
Данный факт, а также сравнительно несложная реализация вредоноса наводят на мысль о том, что проанализированный исследователями C&amp;C-сервер является частью инфраструктуры, которую используют несколько группировок.