[IT] Mandrake, o campanie spyware desfășurată prin Google Play, a infectat 32.000 de dispozitive

[Dexter. @ GOV.RO]

 

Campania a rămas nedetectată timp de doi ani, din cauza tehnicilor avansate de camuflaj utilizate de atacatori

    Cercetătorii de la Kaspersky au identificat o nouă campanie de spyware care utilizează malware-ul Mandrake, distribuit prin intermediul Google Play. Sub acoperirea unor aplicații legitime, precum cele legate de criptomonede, astronomie și instrumente utilitare, Mandrake a reușit să infecteze peste 32.000 de dispozitive. Campania a rămas nedetectată timp de doi ani, din cauza tehnicilor avansate de camuflaj utilizate de atacatori.

Începând cu 29 septembrie, în SUA este interzisă comercializarea antivirusului Kaspersky, urmând ca după încă 30 de zile de la anunț să fie interzisă și actualizarea software-ului încă instalat pe sistemele folosite de clienți. Softul fusese interzis agenţiilor federale încă din 2017. Și România a interzis, oficial, folosirea antivirusului rusesc Kaspersky în instituțiile publice, în 2022. Dar să ne întoarcem la subiect.

Descoperirea și caracteristicile Mandrake

Mandrake a fost identificat pentru prima dată de Bitdefender în 2020, fiind descris ca un spyware Android sofisticat, activ încă din 2016. În aprilie 2024, Kaspersky a descoperit un nou eșantion, sugerând o versiune actualizată a Mandrake cu funcționalități îmbunătățite.

Principala caracteristică a noii variante Mandrake este utilizarea unor tehnici avansate de camuflare menite să ocolească verificările de securitate Google Play și să împiedice analiza de către experții în securitate. Printre acestea se numără:

Mutarea funcționalităților rău intenționate în biblioteci native pentru a îngreuna detectarea.

Utilizarea fixării certificatelor pentru a securiza comunicarea cu serverele C2, prevenind astfel interceptarea datelor.

Executarea unei game largi de teste pentru a detecta dacă malware-ul rulează pe un dispozitiv real sau într-un mediu virtualizat, ceea ce face analiza mult mai dificilă.

Cercetătorii Kaspersky au identificat cinci aplicații pe Google Play care conțineau spyware-ul Mandrake, toate disponibile pentru descărcare timp de cel puțin un an. Aceste aplicații au fost:

1. AirFS (com.airft.ftrnsfr)
2. Amber (com.shrp.sght)
3. Astro Explorer (com.astro.dscvr)
4. Brain Matrix (com.brnmth.mtrx)
5. CryptoPulsing (com.cryptopulsing.browser)

 

sursă: Click