Вредоносная программа AridSpy инициирует крупную кампанию мобильного шпионажа

Недавние выводы исследователей кибербезопасности свидетельствуют о тревожном росте активности мобильного шпионажа, организованной злоумышленником Аридом Вайпером, также известным как APT-C-23. В этой кампании используются зараженные троянами приложения Android для распространения шпионского ПО, получившего название AridSpy, что знаменует собой значительную эволюцию тактики группировки.

Троянизированные приложения как векторы распространения

Исследователь ESET Лукаш Штефанко утверждает, что AridSpy проникает в устройства через поддельные веб-сайты, выдавая себя за законные приложения. К ним относятся платформы обмена сообщениями, такие как LapizaChat и порталы по трудоустройству, а также мошеннические копии приложения Палестинского гражданского реестра. Эти троянские версии содержат вредоносный код для облегчения скрытого сбора и передачи данных.

С момента своего появления в 2017 году Arid Viper провела множество кампаний, направленных в первую очередь против военнослужащих, журналистов и диссидентов на Ближнем Востоке. Нынешняя волна атак охватывает пять задокументированных кампаний, три из которых, согласно последним отчетам, все еще активны.

Технический взгляд на AridSpy

Анализ ESET показывает, что AridSpy превратился в многоэтапный троян, способный загружать дополнительные полезные данные с сервера управления. Эта сложная архитектура позволяет вредоносному ПО обходить меры безопасности и сохраняться на скомпрометированных устройствах.

Тактика географической и социальной инженерии

Злоумышленники стратегически нацелены на пользователей в Палестине и Египте, используя культурно и регионально релевантные приложения для повышения доверия и заманивания ничего не подозревающих жертв к загрузке скомпрометированного программного обеспечения. Например, поддельное приложение Палестинского гражданского реестра имитирует функциональность законного аналога, но пересылает данные на неавторизованные серверы.

Операционная механика и настойчивость

После установки AridSpy инициирует разведку, проверяя наличие защитного программного обеспечения, гарантируя, что его тайные операции останутся незамеченными. Вредоносное ПО может работать независимо от исходного хост-приложения, используя обманные приемы, например, выдавая себя за обновления сервисов Google Play, чтобы сохранить доступ и контроль.

Расширенные возможности сбора данных

AridSpy поддерживает широкий набор команд, предназначенных для извлечения конфиденциальных данных со скомпрометированных устройств. Он может тайно делать фотографии с помощью передней камеры устройства при определенных условиях, таких как уровень заряда батареи и время с момента последнего захвата, что иллюстрирует возможности агрессивного наблюдения вредоносного ПО.

Кампания AridSpy подчеркивает постоянную угрозу, которую представляют изощренные операции мобильного шпионажа. Поскольку субъекты угроз продолжают внедрять инновации и адаптировать свои стратегии, бдительность и превентивные меры безопасности по-прежнему имеют решающее значение для снижения рисков, связанных с такими продвинутыми киберугрозами.