888 RAT richt zich op Koerdische groepen, BladeHawk-hackers voeren de campagne

Koerdische etnische groepen laten hun Android-apparaten besmetten met wat lijkt op een nieuw stuk Android-malware. De dreiging, genaamd de 888 RAT, wordt gebruikt naast SpyNote, een andere Remote Access Trojan (RAT) voor Android. De criminelen achter deze aanval lijken een groep te zijn die wordt gevolgd onder de alias BladeHawk. Deze criminelen zijn in het verleden betrokken geweest bij soortgelijke aanvallen, waarbij ze andere Android-implantaten gebruikten. Het is belangrijk om toe te voegen dat naar de 888 RAT kan worden verwezen onder verschillende namen, zoals de LodaRAT of Gaza007 RAT.

Hoe bereikt deze 888 RAT-campagne slachtoffers?

Deze specifieke campagne heeft valse Facebook-profielen en andere sociale-mediaplatforms gebruikt om de kwaadaardige app te verspreiden. De 888 RAT wordt meestal gemaskeerd als een legitiem stuk Android-software, die het doelwit downloadt van een app-hostingsite van derden. De criminelen gebruiken verschillende profielen voor de spamcampagne. Sommige van deze profielen doen zich voor als leden van de technische gemeenschap, terwijl anderen optreden als Koerdische supporters. Afgezien van het promoten van nep-apps die de 888 RAT leveren, werden dezelfde profielen ook gebruikt om phishing-links te verspreiden voor verschillende sociale-media-apps en -sites, zoals Snapchat.

De 888 RAT is geen op maat gemaakt stukje malware. In feite werd het aanvankelijk door de makers ervan op een openbare website verkocht. Het heeft regelmatig updates ontvangen, waaronder een Android-versie die in 2019 uitkwam. Het is niet duidelijk of de BladeHawk-hackers een gekocht exemplaar of een gekraakt exemplaar gebruiken. Hoe dan ook, de kenmerken van de malware blijven hetzelfde.

Wat zijn 888 RAT-mogelijkheden?

De lijst met functies van deze Trojan is erg rijk. Het kan allerlei soorten taken uitvoeren, en er is maar één vereiste: het slachtoffer moet de app toestemming geven om de Android-toegankelijkheidsservice te gebruiken. Omdat veel mensen niet de moeite nemen om de privileges die ze aan apps verlenen te controleren, kunnen ze de 888 RAT onbewust volledige controle over hun Android-apparaat geven. Enkele van de belangrijkste taken die dit implantaat uitvoert, zijn:

• Oproepen opnemen.
• Grijp schermafbeeldingen.
• Ontvang hardware-informatie over het apparaat - GPS-locatie, batterijniveau en meer.
• Controleer op de aanwezigheid van sociale media-apps zoals Facebook.
• Steel Facebook-inloggegevens.
• Maak een lijst van alle actieve apps.
• Beheer het bestandssysteem.
• Laad URL's in verborgen webbrowserinstanties.
• Voer opdrachten/scripts op afstand uit.
• SMS-berichten beheren.

Uiteraard worden alle gegevens die de 888 RAT extraheert naar de servers van de aanvallers gestuurd. Het implantaat kan ook aangepaste phishing-overlays weergeven - waarschijnlijk gemaakt door de BladeHawk-hackers.

Ondanks al zijn gevaarlijke eigenschappen is de 888 RAT een bekend stukje malware. Android-gebruikers die investeren in gerenommeerde en up-to-date antivirus-apps kunnen er zeker van zijn dat spraakmakende malware zoals deze geen kans krijgt om hun apparaat te infecteren.