Хакеры Transparent Tribe распространяют CapraRAT через троянские приложения для обмена сообщениями

[Artifact]

«Безопасный» аналог WhatsApp использовался злоумышленниками для внедрения многофункционального Android-бэкдора.

Предположительно, пакистанская хакерская группировка, известная как Transparent Tribe, была связана с продолжающейся кампанией кибершпионажа, нацеленной на индийских и пакистанских пользователей Android с помощью бэкдора под названием CapraRAT.
«Transparent Tribe распространяла Android-бэкдор CapraRAT через троянизированные приложения для обмена сообщениями под брендами MeetsApp и MeetUp», — говорится в сегодняшнем отчёте ESET.
По предварительным оценкам, жертвами стали около 150 человек. Вредоносное ПО можно было загрузить с поддельных фишинговых веб-сайтов, а само приложение по своему интерфейсу и названию определённо является своеобразной пародией на WhatsApp от компании Meta*.
Подозревается, что цели заманиваются с помощью романтической аферы-ловушки, в которой злоумышленник обращается к жертвам через другую платформу и убеждает их установить приложения с вредоносным ПО под предлогом «безопасного» обмена сообщениями и звонков.
Тем не менее, приложения, помимо обещанных функций, поставляются с имплантированным CapraRAT, модифицированной версией AndroRAT с открытым исходным кодом, которая была впервые задокументирована Trend Micro в феврале 2022 года.

Фишинговые сайты с троянским мессенджером
Бэкдор оснащен обширным набором функций, которые позволяют делать снимки экрана и фотографии, записывать телефонные звонки и окружающий звук, а также извлекать другую конфиденциальную информацию. Он также может совершать звонки, отправлять SMS-сообщения и получать команды для загрузки файлов.
При этом пользователям также необходимо создать учетную запись, связав свои номера телефонов и выполнив шаг подтверждения по SMS, чтобы получить доступ к функциям приложения.
ESET заявила, что вредоносная кампания имеет узкую направленность и не нашла доказательств того, что приложения были доступны в магазине Google Play.
Transparent Tribe, также известная как APT36, Operation C-Major и Mythic Leopard, недавно была связана с рядом других атак , направленных на правительственные организации Индии с использованием вредоносных версий решения для двухфакторной аутентификации под названием Kavach.