Des chercheurs découvrent un nouveau logiciel malveillant mobile Charming Kitten

Des chercheurs en sécurité travaillant avec IBM ont récemment publié une analyse d'un nouveau malware Android qui est propagé et utilisé par l'acteur de la menace connu sous les alias Charming Kitten et APT35. Les chercheurs ont déclaré que le malware est utilisé par un acteur malveillant qu'ils appellent ITG18, avec des liens présumés avec l'Iran, mais que cet APT a également un chevauchement important avec Charming Kitten.

Le malware en question s'appelle "LittleLooter" et agit comme une porte dérobée pour les appareils Android. LittleLooter est un outil utilisé uniquement par le groupe ITG18, selon les chercheurs d'IBM. Cependant, il en est également un avec quelques problèmes de conception.

Le fichier contenant le malware a été trouvé sur un serveur appartenant et associé au groupe de hackers prétendument iranien. Le conteneur était un package d'application Android se présentant comme un programme d'installation pour WhatsApp nommé "WhatsApp.apk", avec la somme de contrôle MD5 "a04c2c3388da643ef67504ef8c6907fb".

LittleLooter est un voleur varié avec de nombreuses fonctionnalités, notamment l'enregistrement de vidéos et de sons à partir de l'appareil infecté, le téléchargement et l'exfiltration de fichiers de l'appareil, l'enregistrement des conversations en cours, la vérification des applications installées, la manipulation de l'état marche/arrêt de diverses fonctionnalités sur l'appareil telles que comme Bluetooth, Wi-Fi et données mobiles et vérifier les journaux d'appels.

Les chercheurs ont également découvert des heures de vidéos destinées à former les pirates à l'utilisation d'une version précédente du logiciel malveillant. Le LittleLooter le plus récent est estampillé de la v5, tandis que les didacticiels sur l'utilisation du malware concernaient la v4.

Pour son infrastructure de commandement et de contrôle, LittleLooter tente de contacter un serveur qui prétend appartenir à un magasin de fleurs américain, de toutes les choses possibles, et qui est en ligne et fonctionne depuis la mi-2020. La communication est à la fois compressée et cryptée à l'aide d'AES.

Comme pour toutes les attaques similaires et les logiciels malveillants mobiles, les chercheurs d'IBM ont recommandé d'activer l'authentification multifacteur sur autant d'appareils et d'applications que possible sur ces appareils. Allison Wikoff, chercheuse en sécurité chez IBM Security X-Force, a déclaré que les chercheurs continueraient à insister sur l'importance de l'authentification multifacteur jusqu'à ce qu'ils soient "bleus au visage", en particulier parce que tous les fournisseurs ne la mettent pas en œuvre ou ne la rendent pas obligatoire pour leurs produits.