Nytt spionprogram riktat mot människor upptäckt i App Store och Google Play

Den nya skadliga programvaran är utformad för att attackera smartphones med operativsystemen iOS och Android, och sedan skicka bilder och enhetsinformation från infekterade telefoner till angriparens server.

Den 26 juni meddelade experter från Kaspersky att de hade upptäckt ett nytt spionprogram som heter SparkKitty, utformat för att attackera smartphones med iOS- och Android-operativsystem, och sedan skicka bilder och enhetsinformation från infekterade telefoner till angriparens server.

SparkKitty bäddades in i appar med innehåll relaterat till kryptovalutor, spel, samt i en falsk version av TikTok-appen. Dessa appar distribuerades inte bara via App Store och Google Play, utan även på bedrägliga webbplatser.

Enligt experternas analys kan målet med denna kampanj vara att stjäla kryptovaluta från användare i Sydostasien och Kina. Användare i Vietnam riskerar också att möta liknande hot.

Kaspersky har meddelat Google och Apple att de ska vidta åtgärder mot de skadliga apparna. Vissa tekniska detaljer tyder på att den nya kampanjen är kopplad till SparkCat, en trojan som tidigare upptäckts. SparkCat är den första skadliga programvaran på iOS-plattformen med en inbyggd modul för optisk teckenigenkänning (OCR) som skannar användarnas fotobibliotek och stjäl skärmdumpar som innehåller lösenord eller återställningsfraser för kryptovalutaplånböcker.

Efter SparkCat är detta andra gången i år som Kaspersky-forskare har upptäckt en trojansk stöldvirusstöld i App Store.

På App Store är denna trojanska skadliga kod förklädd till en kryptovalutrelaterad applikation som heter 币coin. Dessutom sprider cyberbrottslingar denna skadliga kod under täckmantel av TikTok-appen och vissa vadslagningsspel på bedrägliga webbplatser som är utformade för att imitera iPhone App Store-gränssnittet.

币coin, en falsk app för kryptovalutaväxling, dyker upp i App Store. (Skärmdump)

En falsk App Store-webbplats som försöker lura användare att installera TikTok-appen via utvecklarverktyget. (Skärmdump)

En falsk webbutik inbäddad i en falsk TikTok-app. (Skärmdump)

”Falska webbplatser är en av de mest populära kanalerna för att distribuera trojaner, där hackare försöker lura användare att besöka och installera skadlig kod på iPhones. På iOS finns det fortfarande några legitima sätt för användare att installera appar utanför App Store. I den här attacken utnyttjade hackare ett utvecklarverktyg som är utformat för att installera interna appar inom företag. I den infekterade versionen av TikTok, så fort användaren loggar in, stjäl skadlig kod foton från telefonens galleri och infogar i hemlighet en konstig länk på offrets personliga sida. Det som är oroande är att den här länken leder till en butik som bara accepterar kryptovalutabetalningar, vilket gör oss ännu mer oroade över den här kampanjen”, säger Sergey Puzan, skadlig kodanalytiker på Kaspersky.

På Android riktade angripare in sig på användare på både Google Play och tredjepartswebbplatser genom att dölja skadlig kod som kryptovalutarelaterade tjänster. Ett exempel på en infekterad app är SOEX, en meddelandeapp med inbyggd funktionalitet för kryptovalutahandel, med över 10 000 nedladdningar från den officiella butiken.

Falsk SOEX-app för kryptovalutaväxling på Google Play. (Skärmdump)

Dessutom upptäckte experter även APK-filer (installationsfiler för Android-applikationer, som kan installeras direkt utan att gå via Google Play) från dessa skadlig kod-infekterade applikationer på tredjepartswebbplatser, vilka tros vara relaterade till ovanstående attackkampanj.

Dessa appar marknadsförs under täckmantel av kryptovalutainvesteringsprojekt. Det är värt att notera att webbplatserna som distribuerar apparna också marknadsförs i stor utsträckning på sociala nätverk, inklusive YouTube.

”När apparna väl är installerade fungerar de som beskrivet. Under installationen infiltrerar de dock tyst enheten och skickar automatiskt bilder från offrets galleri tillbaka till angriparen. Dessa bilder kan innehålla känslig information som hackarna letar efter, till exempel återställningsskript för kryptoplånböcker, vilket gör att de kan stjäla offrets digitala tillgångar”, säger Dmitry Kalinin, malwareanalytiker på Kaspersky. ”Det finns indirekta tecken på att angriparna är ute efter användarnas digitala tillgångar: många av de infekterade apparna är relaterade till kryptovalutor, och den infekterade versionen av TikTok innehåller också en butik som bara accepterar kryptovalutabetalningar.”

För att undvika att bli offer för denna skadliga programvara rekommenderar Kaspersky att användare vidtar följande säkerhetsåtgärder:

- Om du av misstag har installerat en av de infekterade applikationerna, ta snabbt bort applikationen från din enhet och använd den inte igen förrän det finns en officiell uppdatering som helt tar bort den skadliga funktionen.

- Undvik att lagra skärmdumpar som innehåller känslig information i ditt fotobibliotek, särskilt bilder som innehåller återställningskoder för kryptovalutaplånböcker. Istället kan användare lagra inloggningsinformation i dedikerade lösenordshanteringsprogram.

- Installera pålitlig säkerhetsprogramvara för att förhindra risken för infektion med skadlig kod. För iOS-operativsystem med deras unika säkerhetsarkitektur varnar Kasperskys lösning om den upptäcker en enhet som överför data till en hackers kontrollserver och blockerar denna dataöverföringsprocess.

- När en applikation begär åtkomst till fotobiblioteket bör användare noggrant överväga om denna behörighet verkligen är nödvändig för applikationens huvudfunktion.

(Vietnam+)

Källa: https://www.vietnamplus.vn/phat-hien-phan-mem-gian-diep-moi-nham-vao-nguoi-tren-app-store-va-google-play-post1046585.vnp