DoNot APT cible les utilisateurs d’Android avec des logiciels espions via de fausses applications

Une campagne de logiciels espions furtive et dangereuse de DoNot APT a peut-être ciblé des centaines d’utilisateurs d’Android en se faisant passer pour de faux VPN et des applications de chat sur le Google Play Store. Les utilisateurs doivent vérifier leurs appareils et supprimer les applications immédiatement si elles sont en cours d’exécution.

La campagne de logiciels espions DoNot APT se propage via de fausses applications Android

Des chercheurs de la société de cybersécurité Cyfirma ont découvert une campagne de logiciels espions sournois ciblant les utilisateurs d’Android. Cependant, cette campagne de logiciels espions est différente des campagnes habituelles en ce sens qu’elle cible apparemment les utilisateurs d’un pays spécifique.

Plus précisément, les chercheurs ont remarqué l’activité du tristement célèbre groupe DoNot APT – un groupe d’acteurs menaçants indiens (vraisemblablement soutenus par l’État). L’activité récente de DoNot APT consiste à diffuser des logiciels espions via deux fausses applications Android apparues sur le Google Play Store. Ceux-ci incluent l’application iKHfaa VPN et l’application nSure Chat. Ces deux applications appartenaient au même développeur nommé « SecurITY Industry » sur Play Store.

Une troisième application, « Device Basics Plus app » – un utilitaire d’aide à l’appareil fournissant des informations de base sur le système à l’utilisateur sur un seul écran, appartenait également aux mêmes développeurs. Mais il n’a montré aucun comportement malveillant au moment de l’analyse.

En ce qui concerne l’application VPN iKHfaa, l’application semblait légitime car elle offrait la fonctionnalité VPN de base comme revendiqué. Cependant, il a demandé des autorisations explicites pour l’appareil, y compris l’emplacement de l’appareil et la liste des contacts, ce qui a alarmé les chercheurs. En outre, la section « À propos » de l’application affichait le nom réel de l’application (Liberty VPN – une application VPN légitime) sur laquelle les pirates utilisaient pour concevoir leur VPN malveillant.

De même, l’application nSure Chat a également demandé des autorisations similaires, et l’analyse de l’application a révélé les étranges similitudes de code malveillant entre les deux applications. Les deux applications ont transmis des données volées de l’appareil au C&C des attaquants.

L’analyse technique détaillée de cette campagne et des applications malveillantes est disponible dans la section des chercheurs. rapport.

La menace persiste toujours…

Apparemment, cette campagne semble cibler les utilisateurs d’Android au Pakistan. Cependant, plus de détails sur les victimes et la manière de diffuser ce logiciel espion aux victimes visées restent flous.

Au moment d’écrire cette histoire, le iKHfaaVPN L’application semble supprimée du Google Play Store. Cependant, le nSure Chat et le Bases de l’appareil Plus les applications existent toujours, indiquant que la menace n’est pas terminée.

Bien que les applications affichent un très petit nombre de téléchargements, il est toujours sage pour les utilisateurs d’Android d’analyser leurs appareils pour détecter la présence éventuelle de l’une de ces applications. Et s’ils sont détectés, les utilisateurs doivent les supprimer immédiatement, suivis d’une analyse antivirus robuste, pour éliminer la menace.

Faites-nous part de vos réflexions dans les commentaires.