ESET a descoperit o aplicație de chat ce spiona utilizatorii și colecta în mod ilegal datele lor

2020-07-15

Cercetătorii ESET au descoperit o nouă operațiune din cadrul unei campanii de spionaj cibernetic de lungă durată, derulate în Orientul Mijlociu, care prezintă legături cu un cunoscut grup de atacatori informatici numit Gaza Hackers sau Molerats.

Instrumentul folosit în operațiune este o aplicație pentru Android, Welcome Chat, în fapt un program spyware ce oferă totodată funcționalitatea promisă, aceea de chat. Site-ul malițios care promovează și distribuie aplicația pretinde că oferă o platformă de chat securizată, care este disponibilă în magazinul Google Play. Ambele afirmații sunt însă false; deși se pretinde a fi o aplicație „sigură” cercetătorii ESET demonstrează exact contrariul. 

„Pe lângă faptul că Welcome Chat este un instrument de spionaj, operatorii săi au expus gratuit datele colectate de la victime pe internet. Aplicația nu a fost niciodată disponibilă în magazinul oficial de aplicații pentru Android”, spune Lukáš Štefanko, cercetătorul ESET care a analizat aplicația Welcome Chat.

Aplicația Welcome Chat se comportă ca orice aplicație de chat descărcată din afara Google Play: are nevoie să fie activată opțiunea „Permite instalarea aplicațiilor din surse necunoscute”. După instalare, solicită următoarele permisiuni: să trimită și să vizualizeze mesajele de tip SMS, să acceseze fișiere, să înregistreze audio, să solicite contacte de acces și locația dispozitivului. Imediat după primirea permisiunilor, Welcome Chat începe să primească comenzi de la serverul său de comandă și control (C&C) și încarcă acolo toate informațiile colectate. Pe lângă mesajele de chat, aplicația fură informații precum conținutul mesajelor SMS trimise și primite, istoricul apelurilor, lista de contacte, fotografii, înregistrări de apeluri telefonice și locația GPS a dispozitivului.

„Din păcate pentru victime, aplicația Welcome Chat, incluzând infrastructura sa, nu a fost concepută să asigure securitatea utilizatorului. Datele transmise nu sunt criptate și, din această cauză, nu numai că oferă acces liber atacatorului, ci și oricărui alt utilizator înregistrat în aceeași rețea”, comentează Štefanko.

Cercetătorii ESET au încercat să stabilească dacă Welcome Chat este o versiune troian a unei aplicații „curate” deja existente sau este o aplicație malițioasă dezvoltată de la zero. „Am făcut tot posibilul să descoperim o versiune curată a acestei aplicații, pentru a îl face pe dezvoltatorul acesteia conștient de vulnerabilitate, dar suntem destul de siguri că nu există o astfel de aplicație. Nu a fost deloc dificil să găsim persoanele din spatele operațiunii de spionaj”, explică Štefanko.

Aplicația de spionaj Welcome Chat aparține unei familii de malware Android cunoscute și împarte aceeași infrastructură cu o campanie de spionaj documentată anterior, numită BadPatch, care a vizat și Orientul Mijlociu. BadPatch a fost asociat cu grupul Gaza Hackers, numit și Molerats. Pe baza acestor descoperiri, credem că această campanie a fost derulată de aceiași infractori.

În timp ce operațiunea de spionaj bazată pe Welcome Chat pare a avea răspândire limitată, ESET sfătuiește în continuare utilizatorii să nu instaleze aplicații din alte surse decât magazinul oficial Google Play - cu excepția cazului în care este o sursă de încredere, cum ar fi site-ul unui furnizor de soluții de securitate de încredere sau al unei instituții financiare de renume. În plus, utilizatorii ar trebui să fie atenți la permisiunile solicitate de aplicații și să fie suspicioși în fața oricăror aplicații care solicită permisiuni dincolo de funcționalitatea lor - și, ca o măsură de securitate de bază, utilizatorii ar trebui să ruleze o aplicație de securitate de încredere pe dispozitivele lor mobile.

Pentru mai multe detalii despre programele spyware Welcome Chat, vă invităm să citiți postarea completă de pe blogul WeLiveSecurity „Secure chat platform? Nothing could be further from the truth for Welcome Chat”. Vă invităm să urmăriți activitatea echipei ESET Research pe Twitter pentru cele mai recente știri și descoperiri.