von Redaktion IT-A…
Lesezeit
1 Minute
Hochentwickelte Android-Spyware zielt auf Unternehmen
Eine hochentwickelte Android-Malware hat es offenbar auf Unternehmen abgesehen. Security-Forscher von Lookout haben die Überwachungssoftware "Hermit" unter anderem in Italien entdeckt. Die Art und Sorgfalt der Programmierung deuteten auf einen staatlichen Akteur hin.
Lookout hat die Entdeckung [1] einer Android-Überwachungssoftware, die auf Firmen abzielt, bekannt gegeben. Die Security-Forscher des Unternehmens fanden außerdem Beweise für den Einsatz der Spyware, von ihnen "Hermit" genannt, in Italien und im Nordosten Syriens.
Hermit wurde laut Lookout wahrscheinlich vom italienischen Spyware-Anbieter RCS Lab S.p.A. und von Tykelab Srl entwickelt, einem Unternehmen für Telekommunikationslösungen, das möglicherweise als Tarnfirma fungiert. RCS Lab, ein bekannter Entwickler, der in der Vergangenheit mit Ländern wie Syrien zu tun hatte, sei auf demselben Markt tätig wie der Pegasus-Entwickler NSO Group Technologies und die Gamma Group, die FinFisher entwickelt hat. Diese Entdeckung scheine das erste Mal zu sein, dass ein aktueller Kunde der mobilen Spionagesoftware von RCS Lab öffentlich identifiziert wurde.
Modularer Aufbau und Antianalyse-Fähigkeiten
Hermit ist der Analyse zufolge eine modulare Überwachungssoftware, die ihre bösartigen Fähigkeiten in Paketen versteckt, die nach ihrer Installation heruntergeladen werden. Den Forschern ist es gelungen, 16 der 25 bekannten Module zu erhalten und zu analysieren. Die Module ermöglichen es Hermit, zusammen mit den Berechtigungen der Kern-Malware, ein gerootetes Gerät auszunutzen, Audio aufzuzeichnen, Telefonanrufe zu tätigen und umzuleiten sowie Daten wie Anrufprotokolle, Kontakte, Fotos, den Standort des Geräts und SMS-Nachrichten zu sammeln.
"Diese Entdeckung gibt uns einen tiefen Einblick in die Aktivitäten eines Spyware-Anbieters und in die Funktionsweise hochentwickelter App-basierter Spyware", erklärte Justin Albrecht, Threat Intelligence Researcher bei Lookout. "Wenn man bedenkt, wie anpassungsfähig Hermit ist, einschließlich seiner Anti-Analyse-Fähigkeiten und sogar der Art und Weise, wie es sorgfältig mit Daten umgeht, ist es klar, dass es sich um ein gut entwickeltes Tool handelt. Es wurde entwickelt, um Überwachungsfähigkeiten für nationalstaatliche Kunden bereitzustellen. Interessant ist auch, dass wir Kasachstan als einen wahrscheinlichen aktuellen Kunden von RCS Lab bestätigen konnten. Es kommt nicht oft vor, dass man den Kundenkreis eines Spyware-Anbieters identifizieren kann."
Lookout-Forscher vermuten, dass die Spyware über SMS-Nachrichten verbreitet wird, die vorgeben, von einer legitimen Quelle zu stammen. Die analysierten Malware-Samples gaben sich als Anwendungen von Telekommunikationsunternehmen oder Smartphone-Herstellern aus. Hermit täuscht Benutzer, indem es die legitimen Webseiten der Marken, für die er sich ausgibt, aufruft, während es im Hintergrund bösartige Aktivitäten startet.
dr
[1] https://www.lookout.com/blog/hermit-spyware-discovery
Hermit wurde laut Lookout wahrscheinlich vom italienischen Spyware-Anbieter RCS Lab S.p.A. und von Tykelab Srl entwickelt, einem Unternehmen für Telekommunikationslösungen, das möglicherweise als Tarnfirma fungiert. RCS Lab, ein bekannter Entwickler, der in der Vergangenheit mit Ländern wie Syrien zu tun hatte, sei auf demselben Markt tätig wie der Pegasus-Entwickler NSO Group Technologies und die Gamma Group, die FinFisher entwickelt hat. Diese Entdeckung scheine das erste Mal zu sein, dass ein aktueller Kunde der mobilen Spionagesoftware von RCS Lab öffentlich identifiziert wurde.
Modularer Aufbau und Antianalyse-Fähigkeiten
Hermit ist der Analyse zufolge eine modulare Überwachungssoftware, die ihre bösartigen Fähigkeiten in Paketen versteckt, die nach ihrer Installation heruntergeladen werden. Den Forschern ist es gelungen, 16 der 25 bekannten Module zu erhalten und zu analysieren. Die Module ermöglichen es Hermit, zusammen mit den Berechtigungen der Kern-Malware, ein gerootetes Gerät auszunutzen, Audio aufzuzeichnen, Telefonanrufe zu tätigen und umzuleiten sowie Daten wie Anrufprotokolle, Kontakte, Fotos, den Standort des Geräts und SMS-Nachrichten zu sammeln.
"Diese Entdeckung gibt uns einen tiefen Einblick in die Aktivitäten eines Spyware-Anbieters und in die Funktionsweise hochentwickelter App-basierter Spyware", erklärte Justin Albrecht, Threat Intelligence Researcher bei Lookout. "Wenn man bedenkt, wie anpassungsfähig Hermit ist, einschließlich seiner Anti-Analyse-Fähigkeiten und sogar der Art und Weise, wie es sorgfältig mit Daten umgeht, ist es klar, dass es sich um ein gut entwickeltes Tool handelt. Es wurde entwickelt, um Überwachungsfähigkeiten für nationalstaatliche Kunden bereitzustellen. Interessant ist auch, dass wir Kasachstan als einen wahrscheinlichen aktuellen Kunden von RCS Lab bestätigen konnten. Es kommt nicht oft vor, dass man den Kundenkreis eines Spyware-Anbieters identifizieren kann."
Lookout-Forscher vermuten, dass die Spyware über SMS-Nachrichten verbreitet wird, die vorgeben, von einer legitimen Quelle zu stammen. Die analysierten Malware-Samples gaben sich als Anwendungen von Telekommunikationsunternehmen oder Smartphone-Herstellern aus. Hermit täuscht Benutzer, indem es die legitimen Webseiten der Marken, für die er sich ausgibt, aufruft, während es im Hintergrund bösartige Aktivitäten startet.
dr
[1] https://www.lookout.com/blog/hermit-spyware-discovery
