Новый троян KevDroid записывает звонки на Android-устройствах

Новый троян KevDroid записывает звонки на Android-устройствах

Эксперты Cisco Talos проанализировали маскирующийся под антивирус вредонос для мобильной платформы Android. Ранее EST Security уже сообщала об активности этого зловреда, связывая его с деятельностью северокорейской киберпреступной группы Group 123.

Специалисты выделили два образца этой вредоносной программы, у обоих образцов отмечались одинаковые возможности — кража информации на зараженном устройстве (например, контактов, SMS и истории вызовов) и запись телефонных звонков жертвы. Один из семплов использовал известный эксплойт для уязвимости в Android CVE-2015-3636, что позволяло ему получить root-доступ на атакованном устройстве.

Оба варианта вредоноса отправляли данные на уникальный командный центр (C2-сервер) с помощью HTTP POST. Возможность записи вызовов была реализована на основе проекта с открытым исходным кодом, доступного на GitHub. Специалисты Cisco назвали эту программу «KevDroid».

Еще один образец, проанализированный исследователями (атакующий Windows), был найден на сервере злоумышленников и использовался KevDroid. Вредоносная программа использует платформу PubNub в качестве C2-сервера. PubNub представляет собой IaaS-решение, обеспечивающее передачу сообщений в реальном времени. В частности, злоумышленники используют PubNub API для передачи команд скомпрометированным системам. Этот образец получил имя «PubNubRAT».

В настоящее время эксперты не могут точно установить связь этих вредоносных программ с группой Group 123, они лишь отметили отдельный набор общих методов и техник, что, пожалуй, не может свидетельствовать о стопроцентной связи.

KevDroid получил возможность записывать разговоры жертвы благодаря проекту aykuttasil project. Этот проект предоставляет библиотеку для записи телефонных звонков, совершаемых на устройстве Android.

Вредонос сообщает злоумышленникам следующую информацию о зараженном устройстве:

  • Установленные приложения;
  • Номер телефона;
  • Уникальный идентификатор устройства;
  • Местоположение;
  • Сохраненные контакты;
  • СМС;
  • Записи разговоров;
  • Электронные письма;
  • Фотографии.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

В системе промышленного IoT от Moxa найдены 7 уязвимостей

«Лаборатория Касперского» обнаружила семь уязвимостей в ThingsPro Suite – IIoT-шлюзе и менеджере устройств компании Moxa. Этот продукт предназначен для сбора данных c устройств технологической сети по протоколам Modbus/RTU и Modbus/TCP.

Некоторые из выявленных уязвимостей потенциально могут позволить злоумышленникам получить привилегированный доступ к шлюзу и выполнять на нём произвольные команды. Производителю незамедлительно сообщили о проблемах, и в настоящее время все обнаруженные бреши исправлены.

По данным экспертов Kaspersky Lab ICS CERT, эксплуатация обнаруженных уязвимостей позволяет удалённому злоумышленнику – при условии, что ему доступна панель администрирования ThingsPro Suite – полностью захватить устройство и повысить привилегии на устройстве до максимальных, и для этого ему не потребуется предварительно красть данные аутентификации.

Более того, использование выявленных брешей может быть автоматизировано для массовой атаки на устройства ThingsPro, подключённые к технологическим сетям различных, в том числе промышленных, организаций.

Для обнаружения и эксплуатации этих уязвимостей, по оценкам экспертов, злоумышленникам не обязательно обладать глубокими техническими знаниями и навыками.

«Moxa – крупный производитель с хорошей репутацией. Однако, несмотря на опыт и высокий уровень экспертизы компании, её новый продукт, предназначенный для применения в инфраструктурах промышленного интернета вещей, имел ряд досадных проблем безопасности. К сожалению, приходится признать это частью общей картины – разработчики систем для IoTи IIoT по ряду причин пока не уделяют должного, на наш взгляд, внимания вопросам защиты их от потенциальных киберугроз. Мы обращаемся ко всем разработчикам таких продуктов с призывом пересмотреть свою оценку важности этой проблемы», – подчеркнул Александр Ночвай, эксперт ICS CERT «Лаборатории Касперского» по поиску уязвимостей.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru