SpyAgent Android zlonamjerni softver

SpyAgent je zlonamjerna Android aplikacija koju je otkrio McAfee Mobile Research Team tim. Ovaj zlonamjerni softver se predstavlja kao legitimne aplikacije, kao što su bankarstvo, vladine usluge ili komunalne usluge, kako bi se neprimjetno infiltrirao u uređaje. Jednom instaliran, krade osjetljive podatke, uključujući tekstualne poruke, kontakte i slike, prenoseći ih na servere koje kontrolišu zlonamjerni akteri.

SpyAgent Android zlonamjerni softver; Source: Bing Image Creator

SPYAGENT

SpyAgent se maskira kao legitimne aplikacije, njih oko 280, oponašajući bankarstvo, državne usluge i komunalne usluge. Jednom instalirane na uređaju korisnika koji ništa ne sumnja, ove lažne aplikacije pristupaju i kradu tekstualne poruke, kontakte i slike korisnika, otpremajući ih na udaljene servere koje kontrolišu zlonamjerni akteri. Zlonamjerni softver je posebno opasan, jer cilja na mnemoničke ključeve koji se koriste za oporavak kripto novčanika skeniranjem slika.

Funkcionisanje

Primarni cilj SpyAgent zlonamjernog softvera je da dobije mnemoničke ključeve za oporavak novčanika kriptovaluta, što sugeriše veliki naglasak na ulasku u i eventualno iscrpljivanje kripto imovine žrtava. Ovaj fokus na novčanike za kriptovalute čini ga opasnom prijetnjom, jer su ove tajne fraze veoma tražene od strane zlonamjernih aktera zbog njihove sposobnosti da obnove pristup korisnikovom novčaniku i svim njegovim sredstvima.

Fraze za oporavak kriptovaluta ili seed fraze su od suštinskog značaja za obezbjeđivanje pristupa digitalnoj imovini uskladištenoj u novčaniku kriptovaluta. Ovih 12-24 riječi služe kao rezervni ključevi, omogućavajući korisnicima da vrate svoje novčanike i povrate kontrolu nad svojim sredstvima ako izgube uređaj, dožive oštećenje podataka ili žele da prenesu svoj novčanik na novi uređaj. Zbog poteškoća u pamćenju ovih fraza, mnogi ljudi ih čuvaju kao slike na svojim mobilnim uređajima radi lakšeg pristupa. Nažalost, ova praksa je učinila fraze za oporavak privlačnom metom za zlonamjerni softver kao što je SpyAgent.

Zlonamjerni softver koristi tehnologiju optičkog prepoznavanja znakova (eng. Optical Character Recognition – OCR) za oporavak fraza za oporavak kriptovalute sa slika uskladištenih na Android uređaju. Ovaj metod postaje sve popularniji među zlonamjernim akterima, jer im omogućava da zaobiđu potrebu za fizičkim pristupom uređaju žrtve i umjesto toga se oslone na ukradene ili kompromitovane slike koje sadrže osjetljive informacije koje traže. Nakon inficiranja novog uređaja, SpyAgent pokreće ekstrakciju podataka različitih tipova:

• Lista kontakata žrtve, koja se može koristiti za distribuciju zlonamjernog softvera putem SMS poruka koje potiču od pouzdanih kontakata,
• Dolazne SMS poruke, uključujući jednokratne lozinke (eng. one-time passwords – OTP),
• Slike sačuvane na uređaju za korišćenje za OCR Ovo uključuje sve slike koje sadrže fraze za oporavak kriptovalute ili druge osjetljive informacije,
• Generičke informacije o uređaju, vjerovatno za optimizaciju napada i njihovo prilagođavanje određenim uređajima ili korisnicima.

Operacija zlonamjernog softvera takođe prikuplja fotografije sa uređaja žrtava, koje se čuvaju u pojedinačnim direktorijuma unutar direktorijuma za otpremanje. Ovo naglašava ozbiljnost ugrožavanja podataka koje uzrokuje SpyAgent. Prikupljene slike mogu sadržati osjetljive informacije osim fraza za oporavak kriptovaluta, kao što su lične fotografije ili druge povjerljive podatke.

Komandno kontrolni server (C2)

Istraga sigurnosnih istraživača u pogledu servera za komandu i kontrolu (C2) otkrila je nekoliko ključnih uvida. Prvo je utvrđeno da nekoliko C2 servera ima slabe bezbjednosne konfiguracije koje omogućavaju neovlašteni pristup bez potrebe za akreditivima, pružajući dublji uvid u funkcije servera i vrste podataka koji se prikupljaju. Daljim ispitivanjem je primijećeno da osnovni direktorijum servera uključuje više fascikli, od kojih je svaki organizovan za različite aspekte operacije, kao što su oponašanje bankarskih institucija ili poštanskih usluga. Zbog pogrešne konfiguracije servera, ne samo da su njegove unutrašnje komponente nenamjerno izložene, već su i osjetljivi lični podaci žrtava koji su bili kompromitovani postali javno dostupni.

Posmatranje izloženih indeksnih stranica dovelo je do administratorskih stranica dizajniranih za upravljanje žrtvama. Ove stranice su prikazale listu uređaja, zajedno sa informacijama o uređaju i raznim radnjama koje se mogu kontrolisati. Kako se broj žrtava povećava, lista uređaja na ovim stranicama će se proširiti u skladu sa tim. Administratorske stranice omogućavaju zlonamjernim akterima da daljinski kontrolišu zaražene uređaje, potencijalno instalirajući dodatni zlonamjerni softver ili krađu osjetljivijih podatka.

Zlonamjerni akteri koriste Python i Javascript na strani servera za obradu ukradenih podataka. Ovo omogućava zlonamjernim akterima da efikasno analiziraju i manipulišu prikupljenim informacijama, što im olakšava da izvuku fraze za oporavak kriptovalute ili druge vrijedne podatke od svojih žrtava. Upotreba više programskih jezika sugeriše da ova operacija zlonamjernog softvera ima dobre resurse i da je sposobna da prilagodi svoju taktiku po potrebi da izbjegne otkrivanje i nastavi svoje operacije neotkrivene.

ZAKLJUČAK

SpyAgent je veoma sofisticirani dio Android zlonamjernog softvera koji cilja novčanike kriptovaluta koristeći naprednu tehnologiju za prepoznavanje slika, što ga izdvaja ga od drugih porodica zlonamjernog softvera. On se prerušava u legitimne aplikacije i krađom osjetljivih podataka kao što su mnemonički ključevi, tekstualne poruke, kontakti i slike, predstavlja značajnu prijetnju privatnosti i bezbjednosti korisnika.

Jedan od najalarmantnijih aspekata SpyAgent zlonamjernog softvera je njegov fokus na bezbjednost novčanika za kriptovalute. Tradicionalni privatni ključevi su dugo bili osnovni element u obezbjeđivanju digitalne imovine; međutim, mnemoničke fraze su se pojavile kao lakša alternativa za vraćanje ovih novčanika. Nažalost, oni takođe predstavljaju atraktivnu metu za zlonamjerne aktere. Skeniranjem slika na zaraženim uređajima, SpyAgent zlonamjerni softver može potencijalno da ukrade ove mnemoničke ključeve, što predstavlja ozbiljan bezbjednosni rizik.

Posljedice aktivnosti SpyAgent zlonamjernog softvera mogu biti veoma teške za njegove žrtve. Ne samo da bi mogli da izgube svoje kriptovalute zbog kompromitovanih ključeva za oporavak novčanika, već krađa ličnih podataka kao što su tekstualne poruke i kontakti takođe predstavlja značajne rizike za privatnost. Štaviše, zlonamjerni akteri mogu koristiti ove informacije za phishing napade ili druge zlonamjerne aktivnosti.

Kako tehnologija nastavlja da napreduje, tako će se razvijati i taktike koje koriste zlonamjerni akteri. Od suštinskog je značaja da korisnici ostanu oprezni i preduzmu proaktivne mjere da zaštite svoje uređaje i osjetljive informacije od ovih prijetnji koje se stalno razvijaju. Informisanjem o novim porodicama zlonamjernog softvera kao što je SpyAgent i preduzimanjem koraka da obezbijede svoju digitalnu imovinu, korisnici mogu da pomognu u obezbjeđivanju svojih kriptovaluta i ličnih podataka u ovom okruženju koje se brzo mijenja.

ZAŠTITA

Evo nekoliko preporuka za zaštitu od SpyAgent i sličnog zlonamjernog softvera:

1. Korisnici Android operativnog sistema treba da izbjegavaju instalaciju aplikacija iz nezvaničnih izvora i prodavnica aplikacija trećih strana i da se drže pouzdanih platformi kao što je Google Play prodavnica, koje primjenjuje procese pregleda aplikacija i bezbjednosne mjere. Iako ovo ne garantuje potpunu zaštitu, smanjuje rizik od preuzimanja zlonamjernih aplikacija,
2. Koristiti pouzdano rješenje za bezbjednost mobilnih uređaja. Jednostavno razmisliti o korištenju dodatnog paketa bezbjednosti za mobilne uređaje sa funkcijama za otkrivanje prijetnji u realnom vremenu i internet zaštitu. Ovo može pomoći da se zaštiti uređaj od različitih vrsta prijetnji, uključujući one koje se šire putem lažnih ažuriranja aplikacija ili phishing napada,
3. Redovno ažurirati operativni sistem i aplikacije Android uređaja, jer ažuriranja često uključuju ispravke za poznate ranjivosti koje bi mogao da iskoristi zlonamjerni softver kao što je SpyAgent,
4. Korisnici treba da budu oprezni kada treba da kliknu na veze ili priloge, posebno na one primljene neočekivano putem elektronske pošte ili aplikacija za razmjenu poruka. Phishing napadi su uobičajena taktika koju koriste zlonamjerni akteri da prevare korisnike da otkriju osjetljive informacije ili preuzmu zlonamjerni softver,
5. Koristiti jake, jedinstvene lozinke za svaki nalog i izbjegavati korišćenje fraza ili uobičajenih riječi koje je lako pogoditi. Razmisliti o korišćenju renomiranog menadžera lozinki za bezbjedno skladištenje i upravljanje akreditivima,
6. Prije instalacije aplikacije, korisnici trebaju da dobro pogledaju politiku privatnosti koju će aplikacija primjenjivati. Takođe, tokom instalacije aplikacije veoma je važno obratiti pažnju na podatke i dozvole kojima aplikacija traži pristup i postaviti sebi pitanja da li su ti podaci i dozvole neophodni za funkcionisanje aplikacije,
7. Redovno praviti rezervne kopije podataka, jer u slučaju da korisnik postane žrtva SpyAgent ili bilo kog drugog zlonamjernog softvera, nedavna rezervna kopija važnih datoteka može pomoći da se smanji šteta i olakša oporavak. Mogu se koristiti usluge skladištenja u oblaku kao što su Google Drive, Dropbox i OneDrive za automatske rezervne kopije.