Ny spionprogramvara riktad mot människor upptäckt i App Store och Google Play

Den nya skadliga programvaran är utformad för att attackera smartphones med operativsystemen iOS och Android, och sedan skicka bilder och enhetsinformation från infekterade telefoner till angriparens server.

Den 26 juni meddelade experter från Kaspersky att de hade upptäckt ett nytt spionprogram som heter SparkKitty, utformat för att attackera smartphones med iOS- och Android-operativsystem, och sedan skicka bilder och enhetsinformation från infekterade telefoner till angriparens server.

SparkKitty bäddades in i appar med kryptovaluta- och spelrelaterat innehåll, samt i en falsk version av TikTok-appen. Dessa appar distribuerades inte bara via App Store och Google Play, utan även på bedrägliga webbplatser.

Enligt experternas analys kan målet med denna kampanj vara att stjäla kryptovalutor från användare i Sydostasien och Kina. Användare i Vietnam riskerar också att möta liknande hot.

Kaspersky har meddelat Google och Apple att de ska vidta åtgärder mot de skadliga apparna. Vissa tekniska detaljer tyder på att den nya kampanjen är kopplad till SparkCat, en trojan som tidigare upptäckts. SparkCat är den första skadliga programvaran på iOS-plattformen som har en inbyggd modul för optisk teckenigenkänning (OCR) som skannar en användares fotobibliotek och stjäl skärmdumpar som innehåller lösenord eller återställningsfraser för kryptovalutaplånböcker.

Efter SparkCat är detta andra gången i år som Kaspersky-forskare har upptäckt en trojansk stöldvirusstöld i App Store.

På App Store är denna trojanska skadliga kod förklädd till en kryptovalutrelaterad applikation som heter 币coin. Dessutom sprider cyberbrottslingar denna skadliga kod under täckmantel av TikTok-appen och vissa vadslagningsspel på bedrägliga webbplatser som är utformade för att imitera iPhone App Store-gränssnittet.

币coin, en falsk app för kryptovalutaväxling, dyker upp i App Store. (Skärmdump)

En falsk App Store-webbplats som försöker lura användare att installera TikTok-appen via utvecklarverktyg. (Skärmdump)

En falsk webbutik inbäddad i en falsk TikTok-app. (Skärmdump)

”Falska webbplatser är en av de mest populära kanalerna för att distribuera trojaner, där hackare försöker lura användare att besöka och installera skadlig kod på iPhones. På iOS finns det fortfarande några legitima sätt för användare att installera appar utanför App Store. I den här attackkampanjen utnyttjade hackare ett utvecklarverktyg som är utformat för att installera interna appar i företag. I den infekterade versionen av TikTok, så fort användaren loggar in, stjäl skadlig kod foton från telefonens galleri och infogar i hemlighet en konstig länk i offrets profil. Det som är oroande är att den här länken leder till en butik som bara accepterar kryptovalutabetalningar, vilket gör oss ännu mer oroade över den här kampanjen”, säger Sergey Puzan, skadlig kodanalytiker på Kaspersky.

På Android riktade angripare in sig på användare på både Google Play och tredjepartswebbplatser och maskerade skadlig programvara som kryptovalutarelaterade tjänster. Ett exempel på en infekterad app är SOEX, en meddelandeapp med inbyggd funktionalitet för kryptovalutahandel, med över 10 000 nedladdningar från sin officiella butik.

Falsk SOEX-app för kryptovalutaväxling på Google Play. (Skärmdump)

Dessutom upptäckte experter även APK-filer (installationsfiler för Android-applikationer, som kan installeras direkt utan att gå via Google Play) från dessa skadlig kod-infekterade applikationer på tredjepartswebbplatser, vilka tros vara relaterade till ovanstående attackkampanj.

Dessa appar marknadsförs under förevändning att vara kryptovalutainvesteringsprojekt. Det är värt att notera att webbplatserna som distribuerar apparna också marknadsförs i stor utsträckning på sociala nätverk, inklusive YouTube.

”När apparna väl är installerade fungerar de som beskrivet”, säger Dmitry Kalinin, malwareanalytiker på Kaspersky. ”Men under installationen infiltrerar de tyst enheten och skickar automatiskt bilder från offrets galleri till angriparen. Dessa bilder kan innehålla känslig information som angriparna letar efter, till exempel återställningsskript för kryptoplånböcker, vilket gör att de kan stjäla offrets digitala tillgångar. Det finns indirekta tecken på att angriparna är ute efter användarnas digitala tillgångar: många av de infekterade apparna är relaterade till kryptovalutor, och den infekterade versionen av TikTok innehåller också en butik som bara accepterar kryptovalutabetalningar.”

För att undvika att bli offer för denna skadliga programvara rekommenderar Kaspersky att användare vidtar följande säkerhetsåtgärder:

- Om du av misstag har installerat en av de infekterade applikationerna, ta snabbt bort applikationen från din enhet och använd den inte igen förrän det finns en officiell uppdatering som helt tar bort den skadliga funktionen.

- Undvik att lagra skärmdumpar som innehåller känslig information i ditt fotobibliotek, särskilt bilder som innehåller återställningskoder för kryptovalutaplånböcker. Istället kan användare lagra inloggningsinformation i dedikerade lösenordshanteringsprogram.

- Installera pålitlig säkerhetsprogramvara för att förhindra risken för infektion med skadlig kod. För iOS-operativsystem med specifik säkerhetsarkitektur varnar Kasperskys lösning om den upptäcker att enheten överför data till hackarens kontrollserver och blockerar denna dataöverföringsprocess.

- När en applikation begär åtkomst till fotobiblioteket bör användare noggrant överväga om denna behörighet verkligen är nödvändig för applikationens huvudfunktion.

(Vietnam+)

Källa: https://www.vietnamplus.vn/phat-hien-phan-mem-gian-diep-moi-nham-vao-nguoi-tren-app-store-va-google-play-post1046585.vnp