Kaspersky ha identificato un modulo dannoso di spyware per Android precedentemente sconosciuto inserito all’interno di un’applicazione di viaggi per utenti indiani. Un’analisi più approfondita ha rivelato che il modulo era collegato a GravityRAT, un Remote Access Trojan (RAT) noto per aver condotto alcune operazioni in India. Ulteriori indagini hanno confermato che il gruppo autore del malware ha realizzato uno strumento multipiattaforma che oltre a prendere di mira i sistemi operativi Windows, può essere utilizzato su Android e Mac OS. La campagna è ancora attiva.
Nel 2018, i ricercatori di sicurezza informatica hanno pubblicato un report sugli sviluppi di GravityRAT, tool utilizzato in attacchi mirati contro i servizi militari indiani. Secondo i dati raccolti da Kaspersky, la campagna è attiva almeno dal 2015 e si concentra principalmente sui sistemi operativi Windows. Tuttavia, da circa due anni, il gruppo criminale ha aggiunto Android alla lista degli obiettivi.
Un’ulteriore prova di questo cambiamento è rappresentata proprio dal modulo identificato, che non presenta le caratteristiche tipiche di uno spyware per Android. Ad esempio, per condurre un’attività malevole deve essere selezionata un’applicazione specifica e il codice dannoso, come spesso accade, non si basava sul codice di applicazioni spyware precedentemente conosciute. Questo ha spinto i ricercatori di Kaspersky a confrontare il modulo individuato con le famiglie APT già note.
L’analisi degli indirizzi di comando e controllo (C&C) utilizzati ha permesso di scoprire ulteriori moduli dannosi, riconducibili anche all’autore di GravityRAT. Complessivamente, sono state individuate più di 10 versioni di GravityRAT, distribuite sfruttando il nome di applicazioni legittime come le applicazioni di file sharing sicure che contribuiscono a proteggere i dispositivi degli utenti dalla crittografia dei trojan, o dei media player. Questi moduli, utilizzati insieme, hanno permesso al gruppo di penetrare nei sistemi operativi Windows, Mac OS e Android.
L’elenco delle funzioni abilitate, nella maggior parte dei casi, era standard e tipico di uno spyware. I moduli erano in grado di recuperare i dati del dispositivo, le liste dei contatti, gli indirizzi e-mail, i registri delle chiamate e i messaggi SMS. Alcuni trojan cercavano inoltre file con estensione .jpg, .jpeg, .log,
.png, .txt, .pdf, .xml, .doc, .xls, .xlsx, .ppt, .pptx, .docx e .opus nella memoria del dispositivo per inviarli anche al server di comando e controllo (C&C).
“Secondo le nostre indagini, l’autore di GravityRAT continua a investire nelle sue capacità di spionaggio. Le modalità di occultamente e l’ampliamento del portfolio OS indicano che possiamo aspettarci un maggior numero di incidenti condotti tramite questo malware nella regione APAC (Asia Pacifica). Questo indica anche che i criminali non si limitano solo a sviluppare nuovi malware ma sviluppano quelli già collaudati nel tentativo di aumentare le probabilità di successo”, ha affermato Tatyana Shishkova, security expert di Kaspersky.
Per proteggersi dalle minacce spyware, Kaspersky raccomanda di adottare le seguenti misure di sicurezza:
⦁ Fornire al team SOC (Security Operation Center) l’accesso alla threat intelligence (TI) più aggiornata. ⦁ Kaspersky Threat Intelligence Portal è un unico punto di accesso per la TI dell’azienda, e fornisce dati sugli attacchi informatici e informazioni raccolte da Kaspersky in 20 anni di esperienza sul campo.
⦁ Implementare soluzioni EDR affidabili, come ⦁ Kaspersky Endpoint Detection and Response, per il rilevamento a livello di endpoint, l’indagine e il tempestivo ripristino dagli incidenti.
⦁ Utilizzare una ⦁ soluzione di sicurezza degli endpoint con un controllo delle applicazioni mobili per proteggere i dispositivi aziendali, compresi quelli Android, dalle applicazioni dannose. Questa soluzione garantisce che solo le applicazioni legittime di una whitelist approvata possano essere installate su dispositivi che hanno accesso a dati aziendali sensibili.
Per ulteriori dettagli sui nuovi exploit come GravityRAT, è possibile leggere il report completo su Securelist.
