Forscher entdecken neue Charming Kitten Mobile Malware
Sicherheitsforscher, die mit IBM zusammenarbeiten, haben kürzlich eine Analyse einer neuen Android-Malware veröffentlicht, die von dem unter den Aliasen Charming Kitten und APT35 bekannten Bedrohungsakteur verbreitet und verwendet wird. Die Forscher gaben an, dass die Malware von einem Bedrohungsakteur namens ITG18 mit mutmaßlichen Verbindungen zum Iran verwendet wird, dass diese APT jedoch auch erhebliche Überschneidungen mit Charming Kitten aufweist.
Die fragliche Malware heißt "LittleLooter" und fungiert als Hintertür für Android-Geräte. LittleLooter ist ein Tool, das nur von der ITG18-Gruppe verwendet wird, so die Forscher von IBM. Es ist jedoch auch eines mit einigen Designproblemen.
Die Datei mit der Schadsoftware wurde auf einem Server der angeblich iranischen Hackergruppe gefunden. Der Container war ein Android-App-Paket, das sich als Installer für WhatsApp namens "WhatsApp.apk" mit der MD5-Prüfsumme "a04c2c3388da643ef67504ef8c6907fb" ausgab.
LittleLooter ist ein vielseitiger Diebstahl mit vielen Funktionen, darunter das Aufnehmen von Video und Ton vom infizierten Gerät, das Hochladen und Exfiltrieren von Dateien vom Gerät, das Aufzeichnen laufender Gespräche, das Überprüfen installierter Apps, das Manipulieren des Ein-/Aus-Status verschiedener Funktionen auf dem Gerät, wie z B. Bluetooth, Wi-Fi und mobile Daten sowie die Überprüfung von Anrufprotokollen.
Die Forscher entdeckten zuvor auch stundenlange Videos, mit denen Hacker im Umgang mit einer früheren Version der Malware geschult werden sollten. Der neueste LittleLooter ist mit v5 gestempelt, während die Tutorials zur Verwendung der Malware für v4 waren.
Für seine Kommando- und Kontrollinfrastruktur versucht LittleLooter, einen Server zu kontaktieren, der ausgerechnet zu einem amerikanischen Blumenladen gehört und seit Mitte 2020 online und in Betrieb ist. Die Kommunikation wird mit AES sowohl komprimiert als auch verschlüsselt.
Wie bei allen ähnlichen Angriffen und mobiler Malware empfahlen die Forscher von IBM, die Multi-Faktor-Authentifizierung auf so vielen Geräten und Anwendungen auf diesen Geräten wie möglich zu aktivieren. Allison Wikoff, eine Sicherheitsforscherin bei IBM Security X-Force, sagte, die Forscher würden weiterhin die Bedeutung von MFA betonen, bis sie "blau im Gesicht" sind, insbesondere weil nicht alle Anbieter es implementieren oder es für ihre Produkte obligatorisch machen.
