Hinter dieser Kampagne haben die Experten des europäischen IT-Sicherheitsherstellers die APT-Gruppe StrongPity identifiziert. Deren StrongPity-Backdoor verfügt über verschiedene Spionagefunktionen: Ihre elf dynamisch ausgelösten Module sind unter anderem für die Aufzeichnung von Telefongesprächen sowie das Sammeln von SMS-Nachrichten, Anrufprotokollen und Kontaktlisten verantwortlich.
Bösartige StrongPity-Telegram-App greift auf Kommunikation vieler andere Apps zu
Wenn betroffene Android-Nutzer der bösartigen App Zugriff auf Benachrichtigungen und Dienste gewähren, hat die Anwendung auch Zugang zu eingehenden Benachrichtigungen von 17 anderen Apps wie Viber, Skype, Gmail, Messenger und Tinder. Hierdurch kann das Schadprogramm die Chat-Kommunikation von anderen Anwendungen exfiltrieren. Die ESET-Experten vermuten, dass die StrongPity-Backdoor für zielgerichtete Angriffe zum Einsatz kommen soll. Ihre Analyse haben sie auf WeLiveSecurity veröffentlicht.
Auf einer Webseitenkopie des kostenlosen Webcam-Chats Shagle war die bösartige Version der Telegram-App zum Download verfügbar. Diese trojanisierte Anwendung war nie im Google Play Store verfügbar.
ESET-Forscher: Indizien deuten auf StrongPity-Gruppe
Der bösartige Code, seine Funktionalität, die Klassennamen und das Zertifikat, mit dem die APK-Datei signiert wurde, sind identisch mit denen einer vorangegangenen Kampagne. Daher geht ESET mit großer Sicherheit davon aus, dass diese Operation zur StrongPity-Gruppe gehört. Die Code-Analyse ergab, dass die Backdoor modular aufgebaut ist und zusätzliche binäre Module vom Command&Control-Server heruntergeladen werden. Das bedeutet, dass die Anzahl und der Typ der verwendeten Module jederzeit geändert werden können, um sie an die Anforderungen der Kampagne anzupassen, wenn sie von der StrongPity-Gruppe betrieben wird.
Die bösartige Version verwendet denselben Paketnamen wie die legitime Telegram-App. Paketnamen dienen dazu, jede Android-App eindeutig zu identifizieren. Daher müssen sie einzigartig auf dem Android-Gerät sein. Das bedeutet: Wenn die offizielle Telegram-App bereits auf dem Gerät eines potenziellen Opfers installiert ist, dann kann diese infizierte Version nicht installiert werden.
„Das kann zweierlei bedeuten: Entweder kommuniziert der Angreifer zuerst mit potenziellen Opfern und drängt sie, Telegram von ihren Geräten zu deinstallieren, falls es bereits installiert ist. Oder die Kampagne konzentriert sich auf Länder, in denen Telegram nur selten zur Kommunikation genutzt wird. … Während unserer Untersuchung war die analysierte Version der Malware nicht mehr aktiv. Die Backdoor-Funktionalität ließ sich nicht mehr erfolgreich installieren und auslösen. Das kann sich aber jederzeit ändern, wenn der Bedrohungsakteur beschließt, die bösartige App zu aktualisieren“.
ESET-Forscher Lukás Stefanko, der die verseuchte Telegram-App analysiert hat
Was ist eine APT-Gruppe?
APT steht für Advanced Persistent Thread und hat zum Ziel, möglichst dauerhaften Zugang zu einem Zielnetzwerk zu erlangen und so lange wie möglich aufrechtzuerhalten. Es geht weniger darum, das angegriffene Netzwerk zu schädigen, sondern sich unauffällig zu verhalten und Daten abzuziehen. Diese Art von Angriffen sind meist mit hohem Aufwand und Ressourcen verbunden und zielen dementsprechend auf bedeutende Ziele wie Staaten, Behörden oder große Unternehmen.
Die Analyse und weitere technische Informationen gibt es auf WeLiveSecurity.
Quelle:
Pressetext
Schon gelesen? Ein aktueller Mimikama-Faktencheck: Video vom Jahreswechsel mit Schusswaffen ist schon 7 Jahre alt
Unterstütze jetzt Mimikama – Für Wahrheit und Demokratie! Gründlicher Recherchen und das Bekämpfen von Falschinformationen sind heute wichtiger für unsere Demokratie als jemals zuvor. Unsere Inhalte sind frei zugänglich, weil jeder das Recht auf verlässliche Informationen hat. Unterstützen Sie Mimikama
Mehr von Mimikama
Hinweise: 1) Dieser Inhalt gibt den Stand der Dinge wieder, der zum Zeitpunkt der Veröffentlichung aktuell war. Die Wiedergabe einzelner Bilder, Screenshots, Einbettungen oder Videosequenzen dient zur Auseinandersetzung der Sache mit dem Thema.
2) Einzelne Beiträge entstanden durch den Einsatz von maschineller Hilfe und wurde vor der Publikation gewissenhaft von der Mimikama-Redaktion kontrolliert. (Begründung)