Kaspersky Lab odkril zlonamerno programsko opremo za Androide in iOS

02.07.2014
Objavil: Dare Gliha

Kaspersky Lab je objavil poročilo v katerem poroča o identifikaciji poprej neodkritih mobilnih trojancev, ki delujejo na Androidih in iOS napravah. Ti moduli so del t.i. legalnih orodj za vohunjenje, RCS, ali Galileo, ki jih je razvilo italijansko podjetje HackingTeam.

Seznam žrtev v novem poročilu, ki ga je sestavil Kaspersky Lab v sodelovanju s partnerjem Citizen Lab, vključuje odvetnike aktivistov in odvetnike s področja človekovih pravic, kot tudi politike in novinarje.

Čeprav je bilo v preteklosti že znano, da mobilni trojanci HackingTeama za iOS in Android obstajajo, jih do sedaj še ni nihče identificiral – ali opazil, da bi bili uporabljeni v napadih. Strokovnjaki iz Kaspersky Laba so raziskovali RCS zlonamerno programsko opremo že nekaj let. V začetku letošnjega leta so identificirali nekatere primere mobilnih modulov, ki so se ujemali z drugimi profile konfiguracij RCS zlonamerne programske opreme v njihovi zbirki. V nedavni raziskavi so od žrtev v Kaspersky Lab KSN mreži v oblaku prejeli nove različice vzorcev. Poleg tega so strokovnjaki s podjetja sodelovali z Morganom Marquis-Boireim iz Citizen Laba, ki je obširno raziskoval zlonamerno programsko opremo iz HackingTeama.

Upravljavci, ki stojijo za Galileo RCS, so zgradili posebne zlonamerne module za vsako posamezno tarčo. Ko je enkrat modul pripravljen, ga napadalec dostavi v mobilno napravo žrtve. Nekateri od poznanih vektorjev infekcij vključujejo usmerjeno zvabljanje preko družbenega inženiringa – pogosto povezano z različnimi ukanami, vključno z zero-days, in lokalne infekcije preko USB kablov med sinhroniziranjem mobilne naprave.

Eno od večjih odkritij je bilo spoznanje kako natančno Galileo mobilni trojanec okuži iPhone. Da je to mogoče, mora naprava omogočati spreminjanje operacijskega sistema (t.i. jailbroken). Vendar pa so lahko iPhoni brez omogočenega dostopa do sistema prav tako v nevarnosti, saj napadalec lahko zažene orodje za pridobitev privilegijev do operacijskega sistema kot je ‘Evasi0n’ že preko prej okuženega računalnika in izvede oddaljen dostop, ki ji sledi okužba. Da se izognemo takim tveganjem, strokovnjaki iz Kaspersky Laba priporočajo najprej, da sploh ne omogočimo spreminjanje operacijskega sistema na iPhoneu, kot drugo pa, da redno nadgrajujemo iOS sistem na napravi na zadnjo verzijo.

Prilagojeno vohunjenje: RCS mobilni moduli so skrbno oblikovani tako, da delujejo na diskreten način, na primer s pozornostjo do življenjske dobe baterije naprave. To se izvaja preko zelo previdno prilagojenih vohunskih možnosti ali posebnih vzvodov: na primer, video posnetek je lahko predvajan le, ko je žrtev povezana na določeno Wi-Fi omrežje ali ko uporabnik zamenja SIM kartico ali se naprava polni.

V glavnem so RCS mobilni trojanci zmožni opravljati toliko različnih tipov nadzornih funkcij, vključno s poročanjem lokacije žrtve, krajo fotografij, kopiranjem dogodkov iz koledarja, registriranjem novih SIM kartic v okuženo napravo in prestrezanjem klicev in sporočil, vključno s tistimi, poslanimi iz specifičnih aplikacij, kot so Viber, WhatsApp in Skype.

Detekcija: Proizvodi Kasperrsky Laba zaznajo RCS/DaVinci/Galileo orodja za vohunsko programsko opremo, kot so: Backdoor.Win32.Korablin, Backdoor.Win64.Korablin, Backdoor.Multi.Korablin, Rootkit.Win32.Korablin, Rootkit.Win64.Korablin, Rootkit.OSX.Morcut, Trojan.OSX.Morcut, Trojan.Multi.Korablin, Trojan.Win32.Agent, Trojan-Dropper.Win32.Korablin, Trojan-PSW.Win32.Agent, Trojan-Spy.AndroidOS.Mekir in Backdoor.AndroidOS.Criag.