Patchwork usando iscas de golpes de romance para infectar dispositivos Android com malware VajraSpy
O ator de ameaço divulgado porquê Patchwork provavelmente usou iscas de golpes românticos para prender vítimas no Paquistão e na Índia e infectar seus dispositivos Android com um trojan de aproximação remoto chamado VajraSpy.
A empresa eslovaca de segurança cibernética ESET disse ter desvelado 12 aplicativos de espionagem, seis dos quais estavam disponíveis para download na Google Play Store solene e foram baixados coletivamente mais de 1.400 vezes entre abril de 2021 e março de 2023.
“O VajraSpy possui uma gama de funcionalidades de espionagem que podem ser expandidas com base nas permissões concedidas ao aplicativo junto com seu código”, disse o pesquisador de segurança Lukáš Štefanko. “Ele rouba contatos, arquivos, registros de chamadas e mensagens SMS, mas algumas de suas implementações podem até extrair mensagens do WhatsApp e do Signal, gravar chamadas e tirar fotos com a câmera”.
Estima-se que muro de 148 dispositivos no Paquistão e na Índia tenham sido comprometidos na natureza. Os aplicativos maliciosos distribuídos via Google Play e em outros lugares se disfarçaram principalmente porquê aplicativos de mensagens, sendo os mais recentes propagados em setembro de 2023.
- Conversa Privee (com.priv.talk)
- MeetMe (com.meeete.org)
- Vamos conversar (com.letsm.chat)
- Bate-papo rápido (com.qqc.chat)
- Pessoal do Rafaqat (com.rafaqat.news)
- Bate-papo (com.chit.chat)
- YohooTalk (com.yoho.talk)
- TikTalk (com.tik.talk)
- Olá Bate-papo (com.hello.chat)
- Nidus (com.nidus.no ou com.nionio.org)
- GlowChat (com.glow.glow)
- Vaga Chat (com.wave.chat)
Rafaqat رفاق se destaca pelo veste de ser o único aplicativo que não envia mensagens e ter sido anunciado porquê uma forma de acessar as últimas notícias. Ele foi repleto no Google Play em 26 de outubro de 2022 por um desenvolvedor chamado Mohammad Rizwan e acumulou um totalidade de 1.000 downloads antes de ser removido pelo Google.
O vetor exato de distribuição do malware não está simples no momento, embora a natureza dos aplicativos sugira que os alvos foram induzidos a baixá-los porquê secção de um esquema de romance fraudulento, onde os perpetradores os convencem a instalar esses aplicativos falsos sob o pretexto de ter uma conversa mais segura.
Esta não é a primeira vez que Patchwork – um ator cominador com suspeitas de ligações com a Índia – aproveita esta técnica. Em março de 2023, Meta revelou que a equipe de hackers criou personas fictícias no Facebook e Instagram para compartilhar links para aplicativos nocivos para atingir vítimas no Paquistão, Índia, Bangladesh, Sri Lanka, Tibete e China.
Também não é a primeira vez que os atacantes são observados implantando o VajraRAT, que foi anteriormente documentado pela empresa chinesa de segurança cibernética QiAnXin no início de 2022 porquê tendo sido usado em uma campanha dirigida ao governo e entidades militares do Paquistão. Vajra recebe o nome da vocábulo sânscrita para relâmpago.
Qihoo 360, em sua própria estudo do malware em novembro de 2023, vinculou-o a um agente de ameaço que ele rastreia sob o sobrenome de Fire Demon Snake (também divulgado porquê APT-C-52).
Fora do Paquistão e da Índia, as entidades governamentais nepalesas também foram provavelmente níveo de uma campanha de phishing que fornece uma porta dos fundos baseada em Nim. Foi atribuído ao grupo SideWinder, outro grupo que foi sinalizado porquê operando tendo em mente os interesses indianos.
O desenvolvimento ocorre quando agentes de ameaças com motivação financeira do Paquistão e da Índia foram encontrados visando usuários indianos do Android com um aplicativo de empréstimo falso (Moneyfine ou “com.moneyfine.fine”) porquê secção de um esquema de roubo que manipula a selfie enviada porquê secção de um conheça o processo do seu cliente (KYC) para fabricar uma imagem de nudez e ameaço as vítimas a fazer um pagamento ou malparar que as fotos adulteradas sejam distribuídas aos seus contatos.
“Esses agentes de ameaças desconhecidos e motivados financeiramente fazem promessas atraentes de empréstimos rápidos com formalidades mínimas, entregam malware para comprometer seus dispositivos e empregam ameaças para extorquir quantia”, disse Cyfirma em uma estudo no final do mês pretérito.
Isso também ocorre em meio a uma tendência mais ampla de pessoas serem vítimas de aplicativos de empréstimos predatórios, que são conhecidos por coletar informações confidenciais de dispositivos infectados e empregar táticas de chantagem e assédio para pressionar as vítimas a efetuarem os pagamentos.
De negócio com um relatório recente publicado pelo Network Contagion Research Institute (NCRI), adolescentes da Austrália, Canadá e EUA são cada vez mais níveo de ataques de sextorção financeira conduzidos por um grupo cibercriminoso com sede na Nigéria divulgado porquê Yahoo Boys.
“Quase toda esta atividade está ligada a cibercriminosos da África Ocidental conhecidos porquê Yahoo Boys, que têm porquê níveo principal menores e jovens adultos que falam inglês no Instagram, Snapchat e Wizz”, disse o NCRI.
Wizz, que desde portanto tem seus aplicativos Android e iOS derrubado da Apple App Store e da Google Play Store, rebateu o relatório do NCRI, afirmando que “não tem conhecimento de nenhuma tentativa de roubo bem-sucedida que tenha ocorrido durante a notícia no aplicativo Wizz”.
