I ricercatori di CSE non spiegano dove l’abbiano individuata, ma dall’analisi del codice che compone l’APK per la sua installazione è evidente che gli autori hanno (per lo meno) dei forti legami con l’Italia.
In sintesi, 3Mobile Updater è stata realizzata per apparire come un software per l’aggiornamento dedicato agli utenti di Tre Italia, ma al suo interno nasconde ben altro.
L’app (ma forse definirlo trojan sarebbe più appropriato) è in grado di raccogliere un gran numero di informazioni dal dispositivo su cui viene installata: dai social media all’elenco dei contatti, per finire con la possibilità di utilizzare la fotocamera per registrare immagini e il microfono per registrare audio ambientale.
Il tutto viene memorizzato in un database conservato in locale che viene poi caricato su un server Command and Control gestito dagli autori dell’app.
Insomma: l’impressione è che CSE si sia imbattuta in un software spia di alto livello, forse ancora in una versione in fase di sviluppo. Dall’analisi, infatti, emerge che in molte parti del codice compare il termine “Test”. L’app potrebbe quindi essere in una sorta di “fase embrionale”.
A supportare questa ipotesi c’è anche il fatto che l’esemplare individuato dai ricercatori non contiene alcuno strumento per nasconderne l’attività. Nonostante l’app visualizzi solo un messaggio di dialogo al suo avvio e poi agisca dietro le quinte, la funzione di debug è attiva e tutte le operazioni che compie vengono quindi registrate nel logo di Android.
Di solito malware di questo tipo non vengono diffusi “a tappeto” e tantomeno caricati sugli store ufficiali per Android, ma inviata attraverso email o SMS di phishing ai singoli bersagli che vengono presi di mira dagli spioni.
(PDF Report) Malware Analysis Report: Fake 3MobileUpdater
Nessun commento:
Posta un commento