Раскрыты секреты шпионского тандема Predator – Alien для Android

Раскрыты секреты шпионского тандема Predator – Alien для Android

Раскрыты секреты шпионского тандема Predator – Alien для Android

Эксперты Cisco Talos и Citizen Lab опубликовали результаты анализа семпла шпионской программы Predator и ее загрузчика Alien. Как оказалось, «Хищник» и «Чужой» тесно взаимодействуют, пытаясь собрать информацию в обход штатных средств защиты Android.

По данным Cisco, коммерческий шпион Predator разработки израильской Intellexa (ранее Cytrox) применяется против правозащитников, журналистов, политиков как минимум с 2019 года. Мобильный зловред обладает гибкой архитектурой, обеспечивающей доставку новых Python-модулей без повторного эксплойта.

Существуют две версии вредоноса: для iOS и Android; для совместного исследования был выбран образец, заточенный под Android. Анализ показал, что он умеет записывать телефонные звонки, собирать информацию из мессенджеров, а также скрывать приложения и предотвращать их исполнение при загрузке ОС.

Функциональность Alien оказалась более богатой, чем у традиционных загрузчиков. Модуль внедряется в ключевой Android-процесс zygote64, скачивает с вшитого адреса библиотеку и дополнительные файлы Predator, активирует их и продолжает работать, обеспечивая взаимодействие шпионских компонентов.

При запуске Alien прежде всего определяет производителя зараженного устройства. Если это Samsung, Huawei, Oppo или Xiaomi, выполняется рекурсивное перечисление папок с этим именем — для последующей кражи пользовательских данных из браузеров, мессенджеров, клиентов имейл и соцсетей.

Вредоносный имплант умеет копировать содержимое конфигурационных файлов, списка контактов и телефонных вызовов, папок мультимедиа. Он также отвечает за обновление Predator , а для сокрытия его модулей ставит хуки на функцию ioctl() биндера Android.

Важной функцией шпиона является обход ограничений SELinux. Зловред использует контекст этого штатного механизма для получения доступа к нужным ему приложениям и файлам жертвы. Абьюз позволяет также скрывать вредоносные команды ioctl в системе: межпроцессное взаимодействие не входит в зону ответственности SELinux.

Многофункциональный модуль Alien также помогает Predator выводить краденые данные: он сохраняет их в общей области памяти перед записью на диск и последующей эксфильтрацией. Этот процесс тоже не вызывает подозрений у SELinux.

 

Сам Predator прибывает в систему в виде ELF-файла и создает среду выполнения Python, облегчающую шпионаж с помощью разнообразных модулей. Во взаимодействии с Alien зловред может выполнять произвольный код, вести аудиозапись, воровать данные, скрываться от обнаружения.

Интересной особенностью Predator является способность подменять SSL-сертификаты для перехвата зашифрованного трафика. Вредонос добавляет свой (кастомный) сертификат на уровне пользователя, чтобы не создавать помех нормальной работе устройства: подобное вмешательство могло бы выдать подмену.

Два модуля шпиона — tcore и kmem — извлечь и изучить не удалось. Первый предположительно используется для отслеживания местоположения зараженного устройства, второй позволяет зловреду повысить привилегии и получить доступ к пространству адресов ядра на чтение и запись.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Правительство выделило 3,9 млрд рублей на финансирование ИТ-проектов

Правительство выделило 3,9 млрд рублей на грантовую поддержку значимых ИТ-проектов. Эти средства направят на внедрение и доработку цифровых решений в ключевых отраслях экономики. Финансирование позволит ускорить развитие отечественных технологий, расширить их применение и повысить конкурентоспособность российских разработок на внутреннем и внешнем рынках.

Как сообщила «Российская газета», деньги поступят Минцифры из резервного фонда правительства. Они пойдут на развитие ИТ-отрасли, включая два особо значимых проекта.

«Разработка ключевых и приоритетных решений в рамках ИЦК осуществляется с грантовой поддержкой. Так, в рамках первой волны особо значимых проектов индустриальных центров компетенций грантами было поддержано 32 проекта на сумму 19,9 млрд рублей. В рамках второй волны, стартовавшей в июне этого года, гранты получили ещё 17 проектов. Общая сумма грантов по линии РФРИТ и Фонда Сколково составила 3,2 млрд рублей», — сообщили изданию в аппарате первого вице-премьера Дмитрия Григоренко. Там отметили, что гранты являются одним из самых эффективных инструментов поддержки отечественных ИТ-решений.

В аппарате Дмитрия Григоренко подчеркнули, что правительство контролирует, чтобы проекты, реализуемые в рамках ИЦК, вне зависимости от формы их финансирования, обладали высоким потенциалом тиражирования. Разрабатываемые продукты должны быть востребованы не только у одного заказчика, но и в масштабах всей отрасли. Мониторинг ведётся на протяжении двух лет.

В пресс-службе РФРИТ рассказали, что фонд поддержал 188 проектов по разработке, доработке и внедрению российских технологий. Среди них — 35 особо значимых инициатив в сферах машиностроения, судостроения, авиастроения, ракетно-космического машиностроения, связи и телерадиовещания, автомобилестроения, строительства, ЖКХ и агропромышленного комплекса.

Грантовое финансирование также используется для вывода на рынок продуктов, созданных в университетах. Такой опыт есть у ИТМО и Университета Иннополис.

«Опираясь на опыт нашего вуза, благодаря грантам особенно быстро развиваются промышленная роботизация, фундаментальные исследования и прикладные решения в сфере ИИ, а также образовательные программы по подготовке специалистов цифровой экономики. Гранты не просто дают финансирование — они формируют экосистему, в которой технологии быстрее доходят до реального сектора», — отметил ректор Университета Иннополис Искандер Бариев.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru