Android malware z dostępem root

Niezidentyfikowany aktor został powiązany z nową odmianą złośliwego oprogramowania na Androida, która umożliwia zdalne rootowanie smartfonów i przejęcie pełnej kontroli nad zainfekowanymi urządzeniami, jednocześnie unikając wykrycia. Root w slangu systemu Android oznacza dostanie się do rdzennych ustawień systemowych, co domyślnie jest zablokowane na każdym urządzeniu i wiąże się z utratą gwarancji.

Złośliwe oprogramowanie, o którym mowa nazywa się „AbstractEmu” ze względu na wykorzystanie abstrakcyjnego kodu (mało zrozumiałego) i kontroli anty-emulacyjnych podejmowanych w celu udaremnienia analizy od momentu otwarcia aplikacji. Warto zauważyć, że globalna kampania mobilna została zaprojektowana tak, aby infekować jak najwięcej urządzeń bez wykrycia i dawania o sobie znać użytkownikowi.

Lookout Threat Labs poinformowało, że znalazło łącznie 19 złośliwych aplikacji na Androida, które podszywały się pod aplikacje użytkowe i narzędzia systemowe, takie jak menadżery haseł, programy uruchamiające aplikacje i aplikacje do oszczędzania danych, z których siedem zawierało funkcję rootowania. Tylko jedna z tych aplikacji, o nazwie Lite Launcher, trafiła do oficjalnego sklepu Google Play, przyciągając łącznie 10 000 pobrań, zanim została usunięta.

Mówi się, że aplikacje są szeroko dystrybuowane za pośrednictwem sklepów innych firm, takich jak Amazon Appstore i Samsung Galaxy Store, a także innych mniej znanych, takich jak Aptoide i APKPure.

Gdy urządzenie zostanie zainfekowane, aplikacja zacznie komunikować się ze swoim serwerem dowodzenia i kontroli (C2) za pośrednictwem protokołu HTTP, oczekując na wykonanie serii poleceń JSON. Każda złośliwa aplikacja zawiera zakodowane polecenia, które obsługuje. Aby zdecydować, które polecenie wykonać, aplikacja wyśle dużą ilość danych do serwera C2, w tym zarówno obsługiwane polecenia, jak i dane urządzenia.
Dane o urządzeniu przesyłane do serwera C2 w początkowej fazie infekcji:

Autor: Kapitan Hack Data dodania: 3 lis 2021 08:00 4 min czytania

Producent, model, wersja, numer seryjny
Adres IP
Mac adres karty Wifi i Bluetooth
Nazwa i wersja złośliwej aplikacji
Rodzaj uprawnień nadanych dla aplikacji
Informacja o karcie SIM
Strefa czasowa
Informacje o koncie Google
Lista wspieranych poleceń złośliwej aplikacji
Status dostępu root

Chociaż rootowanie systemu przez malware jest bardzo rzadkie, to jest również bardzo niebezpieczne. Wykorzystując proces rootowania w celu uzyskania uprzywilejowanego dostępu do systemu Android, cyberprzestępca może po cichu przyznać sobie niebezpieczne uprawnienia lub zainstalować dodatkowe złośliwe oprogramowanie — czynności, które normalnie wymagałyby interakcji użytkownika. Podwyższone uprawnienia zapewniają również dostęp szkodliwemu oprogramowaniu do wrażliwych danych innych aplikacji, co nie jest możliwe w normalnych okolicznościach.

Podwyższone uprawnienia, o które przyznaje sobie aplikacja:

Kontakty
Dzienniki połączeń
Wiadomości SMS
GPS
Kamera
Mikrofon

Niektóre z możliwości aplikacji:

Resetowanie hasła do urządzenia
Tworzenie nowych okien
Instalowanie paczek
Monitorowanie powiadomień
Przechwytywanie zrzutów ekranu
Nagrywanie ekranu
Wyłączanie „Google Play Protect”

Po zainstalowaniu paczki łańcuch ataku jest zaprojektowany tak, aby wykorzystać jeden z pięciu exploitów dla starszych luk w zabezpieczeniach Androida. Podatności te umożliwiają właśnie uzyskanie uprawnień roota, przejęcie urządzenia, wyodrębnienie poufnych danych i przesłanie ich do zdalnego serwera kontrolowanego przez atakującego.

CVE-2015-3636 (PongPongRoot)
CVE-2015-1805 (iovyroot)
CVE-2019-2215 (Qu1ckr00t)
CVE-2020-0041
CVE-2020-0069

Lookout przypisał masową kampanię rozpowszechniającą rootujące złośliwe oprogramowanie „grupie dysponującej dobrymi zasobami i motywacją finansową”, a dane telemetryczne ujawniły, że najbardziej poszkodowani byli użytkownicy urządzeń z Androidem w USA. Ostateczny cel infiltracji pozostaje na razie niejasny.

Wiadomo też, że najnowsza wersja systemu Android 12 dostępna od początku października jest odporna na wszystkie z wymienionych metod ataku. Oczywiście starsze urządzenia są najbardziej zagrożone, bo nie wszystkie z nich będzie dało się załatać.