Un acteur chinois de la menace cible les mobiles avec un nouveau logiciel espion

Le groupe d'États-nations très actif connu sous le nom d'APT41 a été associé à deux types de logiciels espions Android jusqu'alors inconnus appelés WyrmSpy et DragonEgg.

APT41, également connu sous les noms d'Axiom, Blackfly, Brass Typhoon, Bronze Atlas, HOODOO, Wicked Panda et Winnti, opère depuis au moins 2007 et cible diverses industries pour le vol de propriété intellectuelle.

Récemment, APT41 a utilisé un outil d'équipe rouge open source appelé Google Command and Control (GC2) dans des attaques contre les médias et les plateformes d'emploi à Taïwan et en Italie.

Vecteur d'infection probablement basé sur des astuces d'ingénierie sociale

La méthode initiale d'intrusion pour la campagne de logiciels de surveillance mobile n'est pas claire, mais est soupçonnée d'impliquer des tactiques d'ingénierie sociale. WyrmSpy a été initialement détecté en 2017, tandis que DragonEgg a été identifié pour la première fois au début de 2021, avec de nouveaux échantillons de ce dernier découverts aussi récemment qu'en avril 2023.

WyrmSpy se déguise souvent en application système par défaut chargée d'afficher les notifications. Cependant, les versions ultérieures du logiciel malveillant ont été présentées sous forme d'applications se faisant passer pour du contenu vidéo pour adultes, Baidu Waimai et Adobe Flash. DragonEgg, d'autre part, a été distribué via des claviers Android tiers et des applications de messagerie comme Telegram.

Il n'y a aucune preuve que ces applications malveillantes ont été distribuées via le Google Play Store officiel.

La connexion entre WyrmSpy, DragonEgg et APT41 découle de l'utilisation d'un serveur de commande et de contrôle (C2) avec l'adresse IP 121.42.149[.]52, associé à l'infrastructure du groupe.

Une fois installées, les deux souches de logiciels malveillants demandent des autorisations intrusives et possèdent des capacités avancées de collecte et d'exfiltration de données, notamment la collecte de photos, d'emplacements, de messages SMS et d'enregistrements audio des utilisateurs.

Le logiciel malveillant utilise également des modules téléchargés à partir d'un serveur C2 qui n'est plus opérationnel, permettant la collecte de données tout en évitant la détection.

WyrmSpy a la capacité de désactiver Security-Enhanced Linux (SELinux) et d'utiliser des outils d'enracinement comme KingRoot11 pour obtenir des privilèges élevés sur les appareils compromis. Notamment, DragonEgg établit une communication avec le serveur C2 pour récupérer un module secondaire inconnu qui se fait passer pour un programme médico-légal.