Nova zlonamerna programska oprema za Androide in iOS in odkritje strežnikov HackingTeama

Kaspersky Lab je objavil novo poročilo v katerem poroča o veliki mednarodni infrastrukturi, ki se uporablja za nadzor nad zlonamerno programsko opremo preko sistema oddaljenega dostopa (Remote Control System – RCS). Kaspersky Lab poroča tudi o identifikaciji poprej neodkritih mobilnih trojancev, ki delujejo na Androidih in iOS napravah. Ti moduli so del t.i. legalnih orodj za vohunjenje, RCS, ali Galileo, ki jih je razvilo italijansko podjetje HackingTeam.

Seznam žrtev v novem poročilu, ki ga je sestavil Kaspersky Lab v sodelovanju s partnerjem Citizen Lab, vključuje odvetnike aktivistov in odvetnike s področja človekovih pravic, kot tudi politike in novinarje.

RCS infrastruktura

Kaspersky Lab je delal na različnih varnostnih pristopih za lociranje Galileovih strežnikov za komando in nadzor (C&C) po celem svetu. Za identifikacijski proces so se strokovnjaki Kaspersky Laba zanašali na posebne indikatorje in podatke o povezanosti, ki so jih pridobili s povratnim inženiringom obstoječih primerov.

Med zadnjo analizo so raziskovalci iz Kaspersky Laban zaznali prisotnost več kot 320 RCS C&C strežnikov v več kot 40 državah. Večina strežnikov je bila locirana v ZDA, Kazahstanu, Ekvadorju, Veliki Britaniji in Kanadi.

Sergej Golovanov, glavni raziskovalec varnosti v Kaspersky Labu je komentiral: »Prisotnost teh strežnikov v državi še ne pomeni, da jih uporabljajo državni organi pregona. Kljub temu pa je za uporabnike RCS logično, da razvijajo C&C na lokacijah, ki jih nadzorujejo – kjer so minimalna tveganja za čezmejne pravne spore ali zasege strežnikov.«

RCS mobilni vsadki (?)

Čeprav je bilo v preteklosti že znano, da mobilni trojanci HackingTeama za iOS in Android obstajajo, jih do sedaj še ni nihče identificiral – ali opazil, da bi bili uporabljeni v napadih. Strokovnjaki iz Kaspersky Laba so raziskovali RCS zlonamerno programsko opremo že nekaj let. V začetku letošnjega leta so identificirali nekatere primere mobilnih modulov, ki so se ujemali z drugimi profile konfiguracij RCS zlonamerne programske opreme v njihovi zbirki. V nedavni raziskavi so od žrtev v Kaspersky Lab KSN mreži v oblaku prejeli nove različice vzorcev. Poleg tega so strokovnjaki s podjetja sodelovali z Morganom Marquis-Boireim iz Citizen Laba, ki je obširno raziskoval zlonamerno programsko opremo iz HackingTeama.

Upravljavci, ki stojijo za Galileo RCS, so zgradili posebne zlonamerne module za vsako posamezno tarčo. Ko je enkrat modul pripravljen, ga napadalec dostavi v mobilno napravo žrtve. Nekateri od poznanih vektorjev infekcij vključujejo usmerjeno zvabljanje preko družbenega inženiringa – pogosto povezano z različnimi ukanami, vključno z zero-days, in lokalne infekcije preko USB kablov med sinhroniziranjem mobilne naprave.

Eno od večjih odkritij je bilo spoznanje kako natančno Galileo mobilni trojanec okuži iPhone. Da je to mogoče, mora naprava omogočati spreminjanje operacijskega sistema (t.i. jailbroken). Vendar pa so lahko iPhoni brez omogočenega dostopa do sistema prav tako v nevarnosti, saj napadalec lahko zažene orodje za pridobitev privilegijev do operacijskega sistema kot je ‘Evasi0n’ že preko prej okuženega računalnika in izvede oddaljen dostop, ki ji sledi okužba. Da se izognemo takim tveganjem, strokovnjaki iz Kaspersky Laba priporočajo najprej, da sploh ne omogočimo spreminjanje operacijskega sistema na iPhoneu, kot drugo pa, da redno nadgrajujemo iOS sistem na napravi na zadnjo verzijo.

Prilagojeno vohunjenje: RCS mobilni moduli so skrbno oblikovani tako, da delujejo na diskreten način, na primer s pozornostjo do življenjske dobe baterije naprave. To se izvaja preko zelo previdno prilagojenih vohunskih možnosti ali posebnih vzvodov: na primer, video posnetek je lahko predvajan le, ko je žrtev povezana na določeno Wi-Fi omrežje ali ko uporabnik zamenja SIM kartico ali se naprava polni.

V glavnem so RCS mobilni trojanci zmožni opravljati toliko različnih tipov nadzornih funkcij, vključno s poročanjem lokacije žrtve, krajo fotografij, kopiranjem dogodkov iz koledarja, registriranjem novih SIM kartic v okuženo napravo in prestrezanjem klicev in sporočil, vključno s tistimi, poslanimi iz specifičnih aplikacij, kot so Viber, WhatsApp in Skype.

Detekcija: Proizvodi Kasperrsky Laba zaznajo RCS/DaVinci/Galileo orodja za vohunsko programsko opremo, kot so: Backdoor.Win32.Korablin, Backdoor.Win64.Korablin, Backdoor.Multi.Korablin, Rootkit.Win32.Korablin, Rootkit.Win64.Korablin, Rootkit.OSX.Morcut, Trojan.OSX.Morcut, Trojan.Multi.Korablin, Trojan.Win32.Agent, Trojan-Dropper.Win32.Korablin, Trojan-PSW.Win32.Agent, Trojan-Spy.AndroidOS.Mekir in Backdoor.AndroidOS.Criag.