В Google Play нашли сразу три приложения, связанные с хак-группой Sidewinder

Рекомендуем почитать:

Xakep #248. Checkm8

• Содержание выпуска
• Подписка на «Хакер»

Специалисты Trend Micro обнаружили в официальном магазине приложений для Android сразу три приложения (Camero, FileCrypt Manager и callCam), связанные с группировкой Sidewinder, специализирующейся на кибершпионских атаках.

По словам специалистов, эти приложения использовали критическую уязвимость CVE-2019-2215 по крайней мере с марта 2019 года. То есть за семь месяцев до того, как эта проблема была впервые обнаружена ИБ-специалистами. Напомню, что данная уязвимость представляет собой локальное повышение привилегий и может помочь злоумышленнику получить root-доступ к целевому устройству. Также баг может использоваться удаленно в сочетании с другими багами.

По информации Trend Micro, приложения FileCrypt Manager и Camero выступают в роли дропперов, то есть подключаются к удаленному серверу злоумышленников для загрузки файла DEX, который затем загружает приложение callCam и пытается установить его, используя уязвимости для повышения привилегий или злоупотребляя Accessibility Service. Помимо CVE-2019-2215, вредоносные приложения также пытаются эксплуатировать уязвимость в драйвере MediaTek-SU для получения root-привилегий и стараясь закрепиться в системе.

Атака происходит без вмешательства пользователя и его ведома. Чтобы избежать обнаружения, преступники использовали обфускацию, шифрование данных и так далее.

После установки приложение callCam скрывает свой значок от пользователя, собирает и похищает следующую информацию с взломанного устройства, затем передавая ее на управляющий сервер:

• данные о местоположении;
• данные об уровне заряда батареи;
• информация о файлах на устройстве;
• список установленных приложений;
• информация об устройстве;
• информация о сенсорах;
• информация о камере;
• снимки экрана;
• информация об учетной записи;
• информация о Wi-Fi;
• данные из WeChat, Outlook, Twitter, Yahoo Mail, Facebook, Gmail и

Основываясь на информации об управляющих серверах малвари, исследователи приписали эту вредоносную кампанию шпионской группировке Sidewinder, которая считается индийской и обычно атакует организации, связанные с пакистанскими военными.

В настоящее время все три приложения уже удалены из Google Play.

Источник