Lernen Sie Monokle Kennen, Eine Android-Malware-Familie, die Kennwörter Stehlen und Andern Kann

Das Special Technology Center (STC) ist ein Softwareentwicklungsunternehmen mit Sitz in Sankt Petersburg, Russland, mit dem die amerikanische Regierung nicht besonders zufrieden war. 2016 verhängte Barack Obama Sanktionen gegen STC, weil seine Regierung glaubte, dass es eines der drei Unternehmen war, das der russischen Regierung half, sich in die Präsidentschaftswahlen 2016 der USA einzumischen. Es wird vermutet, dass nicht wenige talentierte, hoch entwickelte Experten für STC arbeiten, und Forscher des Sicherheitsunternehmens Lookout scheinen davon überzeugt zu sein, dass dieselben Experten für die Erstellung einer zuvor undokumentierten Art von Android-Malware namens Monokle verantwortlich sind.

Monokle und die STC-Verbindung

Wie wir gleich herausfinden werden, ist Monokle eine äußerst ausgereifte und vielseitige mobile Überwachungssoftware, und weil solche bösartigen Apps normalerweise von Leuten entwickelt werden, die wissen, was sie tun, und sie häufig einer bestimmten Gruppe von Hackern zuschreiben ist so gut wie unmöglich. Die Experten von Lookout sind jedoch der Meinung, dass es zahlreiche Belege für eine Verbindung zwischen Monokle und STC gibt.

Laut dem technischen Bericht von Lookout befasst sich STC unter anderem mit der Entwicklung einer Suite defensiver Produkte für Android-Geräte, die angeblich ausschließlich an russische Regierungsbehörden verkauft wird. Das Unternehmen verfügt außerdem über eine Control Panel-Anwendung namens App Control, über die die restlichen STC-Dienste verwaltet werden. Die Experten von Lookout haben festgestellt, dass App Control versucht, herauszufinden, ob Monokle auf dem Gerät installiert ist.

Eines der bekanntesten Produkte von STC ist die Android-Antivirus-App Defender. Nach eingehender Prüfung der Command and Control (C & C) -Infrastruktur von Monokle stellte das Lookout-Team fest, dass sich einige davon mit den von Defender verwendeten Back-End-Servern überschneiden. Um das Ganze abzurunden, gab es Zertifikate, die auch zwischen den Sicherheitsprodukten von STC und Monokle geteilt wurden.

Wenn die Forscher von Lookout Recht haben und Monokle tatsächlich von STC entwickelt wurde, haben die Entwickler nicht allzu viel Mühe darauf verwendet, ihre Spuren zu verbergen, was angesichts der von der Malware bewiesenen Raffinesse seltsam ist.

Die Vielseitigkeit von Monokle ist sein bestimmendes Merkmal

Monokle kann unter anderem Tastatureingaben protokollieren, Dateien löschen und herunterladen, Nachrichten senden, Kontakte filtern, Geräteinformationen, E-Mails, Anmeldedaten, Listen installierter Apps sowie Anruf- und Browserverlauf. Es kann auch Fotos, Videos und Screenshots aufnehmen und Befehle ausführen, wenn es über Root-Zugriff verfügt.

All dies ist ziemlich normal für diese Art von Malware. Monokle hat noch ein paar andere Tricks im Ärmel, die es von der Masse abheben. Er verwendet die Eingabehilfedienste von Android, um Informationen aus Microsoft Office- und Google Docs-Dateien sowie Instant Messaging-Anwendungen wie WhatsApp, Viber, Snapchat usw. zu erfassen und zu filtern. Er kann Bildschirmaufzeichnungen erstellen, auch wenn das Gerät noch gesperrt ist Erfassen Sie das Kennwort, den PIN-Code oder das Muster, das zum Entsperren des Geräts verwendet wurde. Sobald es das Geheimnis erfasst hat, kann es es ändern und Menschen aus ihren Handys oder Tablets sperren.

Die wahrscheinlich fortschrittlichste Funktion ist jedoch die Möglichkeit, vertrauenswürdige Zertifikate auf gefährdeten Geräten zu installieren. Dank dessen ist ein Man-in-The-Middle-Angriff auf TLS-Verkehr möglich.

Alles in allem ist Monokle nichts, was Sie auf Ihrem Android-Gerät haben möchten. Die gute Nachricht ist, dass die meisten von Ihnen wahrscheinlich nicht darauf stoßen werden.

Monokle ist auf bestimmte Ziele ausgerichtet

Das früheste untersuchte Lookout-Beispiel stammt aus dem Jahr 2015, aber Monokle wird bis heute für Angriffe verwendet. Wie bei den meisten Android-Malware-Familien kommt der primäre Infektionsvektor in Form von trojanisierten Apps zum Einsatz, die in App-Stores von Drittanbietern vertrieben werden. Die meisten davon geben sich als echte Anwendungen aus, und einige verfügen sogar über legitime Funktionen, die die Erkennung erschweren können.

Basierend auf den Titeln und Symbolen der schädlichen Apps gelangten die Experten zu dem Schluss, dass Monokle für gezielte Angriffe auf bestimmte Benutzergruppen eingesetzt wird. Einige der Anträge waren eindeutig darauf ausgerichtet, die Aufmerksamkeit der mit der militanten Gruppe Ahrar al-Sham in Syrien verbundenen Personen zu erregen. Andere richteten sich an Nutzer in der ehemaligen Sowjetrepublik Usbekistan, und eine dritte Gruppe richtete sich an Personen in der osteuropäischen Kaukasusregion.

Wenn das, was die Experten von Lookout sagen, zutrifft, wird Monokle höchstwahrscheinlich von russischen Regierungsbehörden eingesetzt, die versuchen, bestimmte Personen auszuspionieren. Wenn Ihr Name in bestimmten Listen nicht vorkommt, sind Sie wahrscheinlich nicht von Monokle betroffen. Dies bedeutet natürlich nicht, dass die Malware unterschätzt werden sollte.