Раскрыты секреты шпионского тандема Predator – Alien для Android

Раскрыты секреты шпионского тандема Predator – Alien для Android

Раскрыты секреты шпионского тандема Predator – Alien для Android

Эксперты Cisco Talos и Citizen Lab опубликовали результаты анализа семпла шпионской программы Predator и ее загрузчика Alien. Как оказалось, «Хищник» и «Чужой» тесно взаимодействуют, пытаясь собрать информацию в обход штатных средств защиты Android.

По данным Cisco, коммерческий шпион Predator разработки израильской Intellexa (ранее Cytrox) применяется против правозащитников, журналистов, политиков как минимум с 2019 года. Мобильный зловред обладает гибкой архитектурой, обеспечивающей доставку новых Python-модулей без повторного эксплойта.

Существуют две версии вредоноса: для iOS и Android; для совместного исследования был выбран образец, заточенный под Android. Анализ показал, что он умеет записывать телефонные звонки, собирать информацию из мессенджеров, а также скрывать приложения и предотвращать их исполнение при загрузке ОС.

Функциональность Alien оказалась более богатой, чем у традиционных загрузчиков. Модуль внедряется в ключевой Android-процесс zygote64, скачивает с вшитого адреса библиотеку и дополнительные файлы Predator, активирует их и продолжает работать, обеспечивая взаимодействие шпионских компонентов.

При запуске Alien прежде всего определяет производителя зараженного устройства. Если это Samsung, Huawei, Oppo или Xiaomi, выполняется рекурсивное перечисление папок с этим именем — для последующей кражи пользовательских данных из браузеров, мессенджеров, клиентов имейл и соцсетей.

Вредоносный имплант умеет копировать содержимое конфигурационных файлов, списка контактов и телефонных вызовов, папок мультимедиа. Он также отвечает за обновление Predator , а для сокрытия его модулей ставит хуки на функцию ioctl() биндера Android.

Важной функцией шпиона является обход ограничений SELinux. Зловред использует контекст этого штатного механизма для получения доступа к нужным ему приложениям и файлам жертвы. Абьюз позволяет также скрывать вредоносные команды ioctl в системе: межпроцессное взаимодействие не входит в зону ответственности SELinux.

Многофункциональный модуль Alien также помогает Predator выводить краденые данные: он сохраняет их в общей области памяти перед записью на диск и последующей эксфильтрацией. Этот процесс тоже не вызывает подозрений у SELinux.

 

Сам Predator прибывает в систему в виде ELF-файла и создает среду выполнения Python, облегчающую шпионаж с помощью разнообразных модулей. Во взаимодействии с Alien зловред может выполнять произвольный код, вести аудиозапись, воровать данные, скрываться от обнаружения.

Интересной особенностью Predator является способность подменять SSL-сертификаты для перехвата зашифрованного трафика. Вредонос добавляет свой (кастомный) сертификат на уровне пользователя, чтобы не создавать помех нормальной работе устройства: подобное вмешательство могло бы выдать подмену.

Два модуля шпиона — tcore и kmem — извлечь и изучить не удалось. Первый предположительно используется для отслеживания местоположения зараженного устройства, второй позволяет зловреду повысить привилегии и получить доступ к пространству адресов ядра на чтение и запись.

Взломщик, укравший 7000 сертификатов Детского мира, получил 5 лет

Соавтор атаки на сеть магазинов «Детский мир», в результате которой были скомпрометированы 7 тыс. подарочных сертификатов, решением суда отправлен в колонию на пять лет. Эмилю Галееву также придется уплатить 500 тыс. руб. штрафа.

О приговоре по данному уголовному делу сообщил «Интерфаксу» председатель Следственного комитета РФ Александр Бастрыкин.

Взлом систем «Детского мира», о котором идет речь, произошел в 2022 году. Ныне осужденный с двумя сообщниками арендовали шесть виртуальных серверов, установили на них инструменты анонимизации и с помощью самописных вредоносных программ провели атаку.

За 12 дней пребывания в сети злоумышленники добрались до хранилища электронных сертификатов, обошли защиту и скопировали номера тысяч карт, к которым удалось подобрать ПИН-коды.

«В результате глубокого технического анализа массива цифровых данных, включавшего свыше пяти тысяч IP-адресов, коды и алгоритмы вредоносных программ, удалось установить посекундную последовательность действий хакеров, их сетевые идентификаторы и используемое оборудование», — отметил Бастрыкин в ходе интервью.

Уголовное дело было возбуждено по признакам совершения преступлений, предусмотренных ч. 4 ст. 159.6 (мошенничество в сфере компьютерной информации, совершенное в составе ОПГ, до 10 лет лишения свободы) и ч. 2 ст. 273 УК РФ (создание и использование вредоносных программ группой лиц по сговору, до пяти лет).

Подельники Галеева объявлены в международный розыск. Суд выдал санкцию на их арест при поимке.

В 2024 году у «Детского мира» произошла еще одна утечка: в Сеть слили базу данных, которые, судя по всему, принадлежали клиентам компании. Записи содержали номера бонусных карт, имена и фамилии, телефоны, имейл, а также даты покупок.

RSS: Новости на портале Anti-Malware.ru