Malware til skadelig malware på Android-beskeder rettet mod tibetanske aktivister

En analyse af et stykke Android spyware rettet mod en fremtrædende tibetansk politisk figur antyder, at det kan være blevet bygget for at finde ud af offerets nøjagtige placering.

Forskningen udført af Citizen Lab ved University of Toronto Munk School of Global Affairs er en del af et igangværende projekt, der ser på, hvordan det tibetanske samfund fortsætter med at blive målrettet af sofistikerede cyberspying-kampagner.

Citizen Lab opnåede en prøve af en ansøgning kaldet KaKaoTalk fra en tibetansk kilde i januar, ifølge til sin blog. KaKaoTalk, lavet af et sydkoreansk selskab, er en messaging-applikation, som også giver brugerne mulighed for at udveksle fotos, videoer og kontaktoplysninger.

[Yderligere læsning: Sådan fjernes malware fra din Windows-pc]

Ansøgningen blev modtaget på Jan.16 via e-mail af en "højt profileret politisk figur i det tibetanske samfund", skrev Citizen Lab. Men e-mailen blev smedet for at se ud som om den var kommet fra en informationssikkerhedsekspert, som havde tidligere kontakt med den tibetanske figur i december.

På det tidspunkt havde sikkerhedseksperten sendt den tibetanske aktivist en legitim version af KaKaoTalk's Android Application Package File (APK) som et alternativ til at bruge WeChat, en anden chat-klient, på grund af sikkerhedshensyn om, at WeChat kunne bruges til at overvåge kommunikation.

Men versionen af ​​KaKaoTalk for Android var blevet ændret for at registrere et offers kontakter, SMS'er og mobil konfiguration af telefonnetværk og overføre den til en fjernserver, der er blevet oprettet for at efterligne Baidu, den kinesiske portal og søgemaskinen.

Malware er i stand til at optage oplysninger som basestations-id, tårn-id, mobilnetværkskode og områdekode på telefonen, Citizen Lab sagde. Denne information er typisk ikke særlig nyttig for en svindler, der forsøger at trække sig fra bedragerier eller identitetstyveri.

Men det er nyttigt for en angriber, der har adgang til en mobilkommunikationsudbyders tekniske infrastruktur.

"Det er næsten helt sikkert repræsenterer de oplysninger, som en mobiludbyder kræver for at starte aflytning, ofte omtalt som "fælde og spor", skrev Citizen Lab. "Skuespillere på dette niveau vil også have adgang til de data, der kræves for at udføre radiofrekvens triangulation baseret på signaldata fra flere tårne, hvor brugeren placeres inden for et lille geografisk område."

Citizen Lab bemærkede, at deres teori er spekulativ og at "det er muligt, at disse data indsamles opportunistisk af en skuespiller uden adgang til sådanne oplysninger om mobilnet."

Den manipulerede version af KaKaoTalk har mange mistænkelige træk: den bruger et smedet certifikat og beder om ekstra tilladelser til at køre videre en Android-enhed. Android-enheder forbyder typisk at installere programmer fra udenfor Googles Play Butik, men denne sikkerhedsforanstaltning kan deaktiveres.

Hvis brugerne lider af at give ekstra tilladelser, kører programmet. Citizen Lab bemærker, at tibetanere muligvis ikke har adgang til Googles Play Butik og skal installere applikationer, der er hostet andetsteds, hvilket sætter dem i højere risiko.

Citizen Lab afprøvede den manipulerede version af KaKaoTalk mod tre mobile antivirus scannere lavet af Lookout Mobile Security, Avast og Kaspersky Lab den 6. februar og 27. marts. Ingen af ​​produkterne opdagede malware.

Citizen Lab skrev, at resultaterne viser, at de, der retter sig mod det tibetanske samfund, hurtigt ændrer deres taktik.

Så snart diskussionerne begyndte at flytte væk fra WeChat, angriberne "udnyttede denne ændring, duplicerer en legitim besked og producerer en ondskabsfuld version af en applikation, der cirkuleres som et muligt alternativ," skrev Citizen Lab.