Kinesisk hotskådespelare riktar sig mot mobiler med nya spionprogram
Den mycket aktiva nationalstatsgruppen känd som APT41 har associerats med två tidigare okända typer av Android-spionprogram kallade WyrmSpy och DragonEgg.
APT41, även känd som Axiom, Blackfly, Brass Typhoon, Bronze Atlas, HOODOO, Wicked Panda och Winnti, har varit verksam sedan åtminstone 2007 och har riktat in sig på olika industrier för stöld av immateriell egendom.
Nyligen använde APT41 ett rött teamingverktyg med öppen källkod som heter Google Command and Control (GC2) i attacker mot media och jobbplattformar i Taiwan och Italien.
Infektionsvektor troligen baserad på sociala ingenjörsknep
Den initiala metoden för intrång för kampanjen för mobil övervakningsprogram är oklar men misstänks involvera social ingenjörstaktik. WyrmSpy upptäcktes ursprungligen 2017, medan DragonEgg först identifierades i början av 2021, med nya prover av den senare upptäcktes så sent som i april 2023.
WyrmSpy klär sig ofta som en standardsystemapp som ansvarar för att visa aviseringar. Senare versioner av skadlig programvara har dock paketerats som appar som utger sig för att vara vuxna videoinnehåll, Baidu Waimai och Adobe Flash. DragonEgg, å andra sidan, har distribuerats genom tredjeparts Android-tangentbord och meddelandeappar som Telegram.
Det finns inga bevis för att dessa skadliga appar distribuerades via den officiella Google Play Butik.
Kopplingen mellan WyrmSpy, DragonEgg och APT41 härrör från användningen av en kommando-och-kontroll-server (C2) med IP-adressen 121.42.149[.]52, associerad med gruppens infrastruktur.
När de har installerats begär båda stammarna av skadlig programvara påträngande behörigheter och har avancerade datainsamlings- och exfiltreringsmöjligheter, inklusive att samla in användares foton, platser, SMS-meddelanden och ljudinspelningar.
Skadlig programvara använder också moduler som laddats ner från en C2-server som inte längre är i drift, vilket möjliggör datainsamling samtidigt som man undviker upptäckt.
WyrmSpy har förmågan att inaktivera Security-Enhanced Linux (SELinux) och använda rooting-verktyg som KingRoot11 för att få förhöjda privilegier på komprometterade enheter. Notera att DragonEgg etablerar kommunikation med C2-servern för att hämta en okänd sekundär modul som maskerar sig som ett kriminaltekniskt program.
