Onderzoekers van ESET identificeerden een actieve campagne die we hebben toegeschreven aan de StrongPity APT-groep. De campagne is actief sinds november 2021 en heeft een kwaadaardige app verspreid via een website die zich voordoet als Shagle – een willekeurige videochatservice die gecodeerde communicatie tussen vreemden mogelijk maakt. In tegenstelling tot de volledig webgebaseerde, echte Shagle-site die geen officiële mobiele app biedt om toegang te krijgen tot zijn services, biedt de copycat-site alleen een Android-app om te downloaden en is er geen webgebaseerde streaming mogelijk.

De kwaadaardige app is in feite een volledig functionele maar getrojaniseerde versie van de legitieme Telegram-app, maar wordt gepresenteerd als de niet-bestaande Shagle-app. We zullen het in de rest van deze blogpost de valse Shagle-app, de getrojaniseerde Telegram-app of de StrongPity-achterdeur noemen. ESET-producten detecteren deze dreiging als Android/StrongPity.A.

Deze StrongPity-achterdeur heeft verschillende spionagefuncties: de 11 dynamisch geactiveerde modules zijn verantwoordelijk voor het opnemen van telefoongesprekken, het verzamelen van sms-berichten, lijsten met oproeplogboeken, contactlijsten en nog veel meer. Deze modules worden voor het eerst gedocumenteerd. Als het slachtoffer de kwaadaardige StrongPity-app-toegankelijkheidsservices verleent, heeft een van de modules ook toegang tot inkomende meldingen en kan het de communicatie van 17 apps zoals Viber, Skype, Gmail, Messenger en Tinder exfiltreren.

De campagne is waarschijnlijk erg gericht, aangezien ESET-telemetrie nog steeds geen slachtoffers identificeert. Tijdens ons onderzoek was de geanalyseerde versie van malware die beschikbaar was op de copycat-website niet meer actief en was het niet langer mogelijk om deze met succes te installeren en de backdoor-functionaliteit te activeren omdat StrongPity geen eigen API-ID heeft verkregen voor zijn getrojaniseerde Telegram-app. Maar dat kan op elk moment veranderen als de dreigingsactor besluit de schadelijke app bij te werken.

Overzicht

Deze StrongPity-campagne draait om een ​​Android-achterdeur die afkomstig is van een domein dat het woord "dutch" bevat. Deze website imiteert de legitieme service genaamd Shagle at shagle. com. In figuur 1 ziet u de homepagina's van beide websites. De schadelijke app wordt rechtstreeks geleverd vanaf de imiterende website en is nooit beschikbaar gesteld via de Google Play Store. Het is een getrojaniseerde versie van de legitieme Telegram-app, gepresenteerd alsof het de Shagle-app is, hoewel er momenteel geen officiële Shagle Android-app is.

Figuur 1. Vergelijking van de legitieme website aan de linkerkant en de copycat aan de rechterkant

Zoals u kunt zien in figuur 2, bevat de HTML-code van de nep-site bewijs dat deze is gekopieerd van de legitieme shagle. com plaats op 1 november^st, 2021, met behulp van de geautomatiseerde tool HTTrack. Het kwaadaardige domein werd op dezelfde dag geregistreerd, dus de copycat-site en de nep-Shagle-app kunnen sinds die datum beschikbaar zijn om te downloaden.

Figuur 2. Logboeken die zijn gegenereerd door de HTTrack-tool, opgenomen in de HTML-code van de nepwebsite

victimologie

Op juli 18^th, 2022, een van onze YARA-regels bij VirusTotal werd geactiveerd toen een schadelijke app en een link naar een website shagle. com zijn geüpload. Tegelijkertijd werden we op de hoogte gebracht Twitter over dat monster, hoewel het ten onrechte was toegeschreven aan Bahamut. ESET-telemetriegegevens identificeren nog steeds geen slachtoffers, wat suggereert dat de campagne waarschijnlijk zeer gericht was.

Attribution

De APK die wordt gedistribueerd door de copycat Shagle-website is ondertekend met hetzelfde certificaat voor ondertekening van de code (zie afbeelding 3) als een getrojaniseerde Syrische e-gov-app die in 2021 werd ontdekt door Trend Micro, die ook werd toegeschreven aan StrongPity.

Afbeelding 3. Dit certificaat ondertekende de valse Shagle-app en de getrojaniseerde Syrische e-gov-app

Kwaadaardige code in de valse Shagle-app werd gezien in de vorige mobiele campagne van StrongPity en implementeert een eenvoudige, maar functionele achterdeur. We hebben gezien dat deze code alleen wordt gebruikt in campagnes van StrongPity. In figuur 4 zie je enkele van de toegevoegde kwaadaardige klassen, waarbij veel van de versluierde namen zelfs hetzelfde zijn in de code van beide campagnes.

Afbeelding 4. Vergelijking van klassennamen van de getrojaniseerde Syrische e-gov-app (links) en de getrojaniseerde Telegram-app (rechts)

Vergelijking van de achterdeurcode van deze campagne met die van de getrojaniseerde Syrische e-gov-app (SHA-1: 5A5910C2C9180382FCF7A939E9909044F0E8918B), heeft het uitgebreide functionaliteit, maar wordt dezelfde code gebruikt om vergelijkbare functies te bieden. In Afbeelding 5 en Afbeelding 6 kunt u de code van beide voorbeelden vergelijken die verantwoordelijk is voor het verzenden van berichten tussen componenten. Deze berichten zijn verantwoordelijk voor het activeren van het kwaadaardige gedrag van de achterdeur. Daarom zijn we er sterk van overtuigd dat de nep-Shagle-app is gekoppeld aan de StrongPity-groep.

Afbeelding 5. Berichtenverzender die verantwoordelijk is voor het activeren van kwaadaardige functionaliteit in de getrojaniseerde Syrische e-gov-app

Afbeelding 6. Berichtenverzender die verantwoordelijk is voor het activeren van kwaadaardige functionaliteit in de nep-Shagle-app

Technische analyse

Eerste toegang

Zoals beschreven in het overzichtsgedeelte van deze blogpost, werd de nep-Shagle-app gehost op de Shagle-copycat-website, van waaruit de slachtoffers moesten kiezen om de app te downloaden en te installeren. Er was geen uitvlucht die suggereerde dat de app beschikbaar was via Google Play en we weten niet hoe potentiële slachtoffers naar de nepwebsite werden gelokt of anderszins ontdekt.

toolset

Volgens de beschrijving op de copycat-website is de app gratis en bedoeld om nieuwe mensen te ontmoeten en ermee te chatten. De gedownloade app is echter een kwaadwillig gepatchte Telegram-app, met name Telegram-versie 7.5.0 (22467), die rond 25 februari beschikbaar was om te downloaden^th2022.

De opnieuw verpakte versie van Telegram gebruikt dezelfde pakketnaam als de legitieme Telegram-app. Pakketnamen worden verondersteld unieke ID's te zijn voor elke Android-app en moeten uniek zijn op elk apparaat. Dit betekent dat als de officiële Telegram-app al op het apparaat van een potentieel slachtoffer is geïnstalleerd, deze achterdeurversie niet kan worden geïnstalleerd; zie afbeelding 7. Dit kan twee dingen betekenen: ofwel communiceert de dreigingsactor eerst met potentiële slachtoffers en dwingt hij hen om Telegram van hun apparaten te verwijderen als het is geïnstalleerd, of de campagne richt zich op landen waar Telegram zelden wordt gebruikt voor communicatie.

Afbeelding 7. Als de officiële Telegram-app al op het apparaat is geïnstalleerd, kan de getrojaniseerde versie niet succesvol worden geïnstalleerd

De getrojaniseerde Telegram-app van StrongPity had net zo moeten werken als de officiële versie voor communicatie, met behulp van standaard API's die goed gedocumenteerd zijn op de Telegram-website - maar de app werkt niet meer, dus we kunnen het niet controleren.

Tijdens ons onderzoek was de huidige versie van malware die beschikbaar was op de copycat-website niet meer actief en was het niet langer mogelijk om deze met succes te installeren en de backdoor-functionaliteit te activeren. Toen we probeerden ons aan te melden met ons telefoonnummer, kon de opnieuw verpakte Telegram-app de API-ID niet van de server verkrijgen en werkte daarom niet goed. Zoals te zien is in afbeelding 8, gaf de app een API_ID_PUBLISHED_FLOOD fout.

Afbeelding 8. Fout weergegeven tijdens aanmelding met telefoonnummer

Gebaseerd op Telegram foutdocumentatie, lijkt het erop dat StrongPity geen eigen API-ID heeft verkregen. In plaats daarvan heeft het de voorbeeld-API-ID gebruikt die is opgenomen in de open-sourcecode van Telegram voor eerste testdoeleinden. Telegram bewaakt het API-ID-gebruik en beperkt de voorbeeld-API-ID, dus het gebruik ervan in een uitgebrachte app resulteert in de fout die te zien is in afbeelding 8. Vanwege de fout is het niet meer mogelijk om u aan te melden en de app te gebruiken of de schadelijke functionaliteit ervan te activeren . Dit kan betekenen dat StrongPity-operators hier niet goed over hebben nagedacht, of misschien was er genoeg tijd om slachtoffers te bespioneren tussen het publiceren van de app en het deactiveren ervan door Telegram wegens overmatig gebruik van de APP-ID. Aangezien er nooit een nieuwe en werkende versie van de app beschikbaar is gesteld via de website, zou dit erop kunnen wijzen dat StrongPity de malware met succes op de gewenste doelen heeft ingezet.

Als gevolg hiervan was de nep-Shagle-app die beschikbaar was op de nepwebsite op het moment van ons onderzoek niet meer actief. Dit kan echter op elk moment veranderen als de bedreigingsactoren besluiten de schadelijke app bij te werken.

Componenten van en machtigingen vereist door de StrongPity-achterdeurcode worden toegevoegd aan de Telegram-app's AndroidManifest.xml het dossier. Zoals te zien is in figuur 9, maakt dit het gemakkelijk om te zien welke machtigingen nodig zijn voor de malware.

Afbeelding 9. AndroidManifest.xml met gemarkeerde componenten en machtigingen van de StrongPity-achterdeur

Uit het Android-manifest kunnen we zien dat er kwaadaardige klassen zijn toegevoegd in de org.telegram.messenger pakket verschijnen als onderdeel van de oorspronkelijke app.

De initiële kwaadaardige functionaliteit wordt geactiveerd door een van de drie uitzendontvangers die worden uitgevoerd na gedefinieerde acties: BOOT_COMPLETED, BATTERIJ BIJNA LEEGof GEBRUIKER_PRESENT. Na de eerste start registreert het dynamisch extra uitzendontvangers om te monitoren SCHERM AAN, SCHERM UIT en CONNECTIVITEIT_WIJZIG evenementen. De nep-Shagle-app gebruikt vervolgens IPC (interprocess-communicatie) om te communiceren tussen zijn componenten om verschillende acties te activeren. Het maakt via HTTPS contact met de C&C-server om basisinformatie over het gecompromitteerde apparaat te verzenden en ontvangt een AES-gecodeerd bestand met 11 binaire modules die dynamisch worden uitgevoerd door de bovenliggende app; zie afbeelding 10. Zoals te zien is in afbeelding 11, worden deze modules opgeslagen in de interne opslag van de app, /data/user/0/org.telegram.messenger/files/.li/.

Figuur 10. StrongPity backdoor ontvangt een versleuteld bestand dat uitvoerbare modules bevat

Afbeelding 11. Modules ontvangen van de server opgeslagen in de interne opslag van de StrongPity-achterdeur

Elke module is verantwoordelijk voor verschillende functionaliteiten. De lijst met modulenamen wordt opgeslagen in lokale gedeelde voorkeuren in het gedeeldeconfig.xml het dossier; zie figuur 12.

Modules worden indien nodig dynamisch geactiveerd door de bovenliggende app. Elke module heeft zijn eigen modulenaam en is verantwoordelijk voor verschillende functionaliteiten zoals:

• libarm.jar (cm-module) – neemt telefoongesprekken op
• libmpeg4.jar (nt-module) - verzamelt tekst van inkomende meldingsberichten van 17 apps
• lokaal.jar (fm/fp-module) – verzamelt bestandenlijst (bestandsboom) op het apparaat
• telefoon.jar (ms-module) - misbruikt toegankelijkheidsservices om berichten-apps te bespioneren door de naam, het chatbericht en de datum van de contactpersoon te exfiltreren
• bronnen.jar (sm-module) – verzamelt sms-berichten die op het apparaat zijn opgeslagen
• diensten.jar (lo module) – verkrijgt apparaatlocatie
• systemui.jar (sy module) - verzamelt apparaat- en systeeminformatie
• timer.pot (ia module) – verzamelt een lijst met geïnstalleerde apps
• toolkit.jar (cn-module) - verzamelt contactenlijst
• watchkit.jar (ac-module) - verzamelt een lijst met apparaataccounts
• wearkit.pot (cl-module) - verzamelt een lijst met oproeplogboeken

Afbeelding 12. Lijst met modules die worden gebruikt door de StrongPity-achterdeur

Alle verkregen gegevens worden opgeslagen in de clear in /data/user/0/org.telegram.messenger/databases/outdata, voordat ze worden versleuteld met behulp van AES en verzonden naar de C&C-server, zoals u kunt zien in afbeelding 13.

Afbeelding 13. Versleutelde gebruikersgegevens geëxfiltreerd naar de C&C-server

Deze StrongPity-achterdeur heeft uitgebreide spionagefuncties in vergelijking met de eerste StrongPity-versie die voor mobiel werd ontdekt. Het kan het slachtoffer vragen om toegankelijkheidsdiensten te activeren en toegang tot meldingen te krijgen; zie figuur 14. Als het slachtoffer ze inschakelt, bespioneert de malware binnenkomende meldingen en misbruikt hij toegankelijkheidsdiensten om chatcommunicatie van andere apps te exfiltreren.

Figuur 14. Malwareverzoeken, van het slachtoffer, meldingstoegang en toegankelijkheidsdiensten

Met toegang tot meldingen kan de malware ontvangen meldingsberichten lezen die afkomstig zijn van 17 gerichte apps. Hier is een lijst met hun pakketnamen:

• Messenger (com.facebook.orca)
• boodschapper licht (com.facebook.mlite)
• Viber - Veilig chatten en bellen (com.viber.voip)
• Skypen (com.skype.raider)
• LINE: Oproepen & Berichten (jp.naver.line.android)
• Kik - Berichten- en chat-app (kik.android)
• tango-livestream & videochat (com.giechel.productie)
• Hangouts (com.google.android.talk)
• telegram (org.telegram.messenger)
• WeChat (com.tencent.mm)
• Snapchat (com.snapchat.android)
• Tondel (com.tinder)
• Wandelnieuws en inhoud (com.bsb.hike)
• Instagram (com.instagram.android)
• Twitter (com.twitter.android)
• Gmail- (com.google.android.gm)
• imo-Internationaal bellen en chatten (com.imo.android.imoim)

Als het apparaat al is geroot, probeert de malware in stilte toestemming te verlenen WRITE_SETTINGS, WRITE_SECURE_SETTINGS, OPNIEUW BOOT, MOUNT_FORMAT_FILESYSTEMS, MODIFY_PHONE_STATE, PACKAGE_USAGE_STATS, READ_PRIVILEGED_PHONE_STATE, om toegankelijkheidsservices in te schakelen en om toegang tot meldingen te verlenen. De StrongPity-achterdeur probeert vervolgens de SecurityLogAgent-app uit te schakelen (com.samsung.android.securitylogagent), een officiële systeem-app die de beveiliging van Samsung-apparaten helpt beschermen en alle app-meldingen uitschakelt die afkomstig zijn van de malware zelf en die in de toekomst aan het slachtoffer kunnen worden weergegeven in geval van app-fouten, crashes of waarschuwingen. De StrongPity-achterdeur probeert zelf niet een apparaat te rooten.

Het AES-algoritme gebruikt de CBC-modus en hardcoded sleutels om de gedownloade modules te decoderen:

• AES-sleutel – aaaanniets onmogelijkbbb
• AES IV – aaaannietsimpos

Conclusie

De mobiele campagne van de StrongPity APT-groep deed zich voor als een legitieme service om zijn Android-backdoor te verspreiden. StrongPity heeft de officiële Telegram-app opnieuw verpakt met een variant van de achterdeurcode van de groep.

Die kwaadaardige code, de functionaliteit, klassenamen en het certificaat dat is gebruikt om het APK-bestand te ondertekenen, zijn hetzelfde als van de vorige campagne; daarom geloven we met groot vertrouwen dat deze operatie tot de StrongPity-groep behoort.

Op het moment van ons onderzoek was het voorbeeld dat beschikbaar was op de copycat-website uitgeschakeld vanwege de API_ID_PUBLISHED_FLOOD fout, wat ertoe leidt dat schadelijke code niet wordt geactiveerd en dat potentiële slachtoffers mogelijk de niet-werkende app van hun apparaten verwijderen.

Code-analyse onthult dat de achterdeur modulair is en dat aanvullende binaire modules worden gedownload van de C&C-server. Dit betekent dat het aantal en type gebruikte modules op elk moment kan worden gewijzigd om aan de campagneverzoeken te voldoen wanneer deze worden beheerd door de StrongPity-groep.

Op basis van onze analyse lijkt dit de tweede versie van StrongPity's Android-malware te zijn; in vergelijking met de eerste versie maakt het ook misbruik van toegankelijkheidsdiensten en toegang tot meldingen, slaat het verzamelde gegevens op in een lokale database, probeert het uit te voeren su commando's, en voor het grootste deel van de gegevensverzameling worden gedownloade modules gebruikt.

IoC's

Bestanden

Netwerk

MITRE ATT&CK-technieken

Deze tafel is gemaakt met behulp van versie 12 van het MITRE ATT&CK-raamwerk.

• Door SEO aangedreven content en PR-distributie. Word vandaag nog versterkt.
• Platoblockchain. Web3 Metaverse Intelligentie. Kennis versterkt. Toegang hier.
• Bron: https://www.welivesecurity.com/2023/01/10/strongpity-espionage-campaign-targeting-android-users/