888 RAT atakuje grupy Kurdów, a kampanię prowadzą hakerzy BladeHawk

Kurdyjskie grupy etniczne mają zainfekowane urządzenia z Androidem przez coś, co wydaje się być nowym złośliwym oprogramowaniem na Androida. Zagrożenie, nazwane 888 RAT, jest używane wraz ze SpyNote, innym trojanem zdalnego dostępu (RAT) dla Androida. Przestępcy stojący za tym atakiem wydają się być grupą śledzoną pod pseudonimem BladeHawk. Ci przestępcy brali udział w podobnych atakach w przeszłości, w których używali innych implantów Androida. Należy dodać, że 888 RAT może być określany pod różnymi nazwami, takimi jak LodaRAT lub Gaza007 RAT.

Jak ta kampania 888 RAT dociera do ofiar?

Ta konkretna kampania wykorzystuje fałszywe profile na Facebooku i inne platformy mediów społecznościowych do rozprzestrzeniania złośliwej aplikacji. 888 RAT jest zwykle maskowany jako legalne oprogramowanie na Androida, które cel pobiera z witryny hostującej aplikacje innej firmy. Przestępcy wykorzystują kilka profili do kampanii spamowej. Niektóre z tych profili podszywają się pod członków społeczności technologicznej, podczas gdy inne działają jako zwolennicy Kurdów. Oprócz promowania fałszywych aplikacji dostarczających 888 RAT, te same profile były również wykorzystywane do rozpowszechniania linków phishingowych do różnych aplikacji i witryn mediów społecznościowych – takich jak Snapchat.

888 RAT nie jest specjalnie stworzonym złośliwym oprogramowaniem. W rzeczywistości został początkowo sprzedany na publicznej stronie internetowej przez jego twórców. Otrzymuje regularne aktualizacje, w tym wersję na Androida, która ukazała się w 2019 roku. Nie jest jasne, czy hakerzy BladeHawk używają zakupionej kopii, czy złamanej. Niezależnie od tego cechy złośliwego oprogramowania pozostają takie same.

Czym są możliwości 888 RAT?

Lista funkcji tego trojana jest bardzo bogata. Jest w stanie wykonywać różnego rodzaju zadania, a jest tylko jeden wymóg – ofiara musi przyznać aplikacji uprawnienia do korzystania z usługi ułatwień dostępu Androida. Ponieważ wiele osób nie zadaje sobie trudu, aby faktycznie sprawdzić uprawnienia, które przyznają aplikacjom, mogą nieświadomie przekazać 888 RAT pełną kontrolę nad swoim urządzeniem z Androidem. Niektóre z najważniejszych zadań, które wykonuje ten implant, obejmują:

• Nagrywaj rozmowy.
• Chwyć zrzuty ekranu.
• Otrzymuj informacje o sprzęcie o urządzeniu – lokalizację GPS, poziom naładowania baterii i inne.
• Sprawdź obecność aplikacji społecznościowych, takich jak Facebook.
• Ukradnij dane logowania do Facebooka.
• Lista wszystkich uruchomionych aplikacji.
• Zarządzaj systemem plików.
• Załaduj adresy URL w ukrytych instancjach przeglądarki internetowej.
• Wykonywanie zdalnych poleceń/skryptów.
• Zarządzaj wiadomościami tekstowymi.

Oczywiście wszystkie dane, które wyodrębnia 888 RAT, zostaną przesłane na serwery atakujących. Implant jest również w stanie wyświetlać niestandardowe nakładki phishingowe – prawdopodobnie wykonane przez hakerów BladeHawk.

Pomimo wszystkich swoich niebezpiecznych funkcji, 888 RAT jest dobrze znanym złośliwym oprogramowaniem. Użytkownicy Androida, którzy inwestują w renomowane i aktualne aplikacje antywirusowe, mogą być pewni, że głośne złośliwe oprogramowanie, takie jak to, nie będzie miało szansy zainfekować swojego urządzenia.