GravityRAT - новият стар шпионски софтуер се завърна

Открита е нова версия на шпионски софтуер за Android, тя серазпространява във вид на приложение за общуване , като BingeChat и Chatico. 
Името на зловредния софтуер е GravityRAT.

Тази заплаха се разпространява по различни начини. Наскоробеше открито, че може да премахва архиви на WhatsApp и да изтрива файлове,обявиха ESET, които са лидер в областта на информационната сигурност. Докладаводещия изследовател от ESET - Лукаш Стефанко беше публикуван на 15 Юни 2023г.
GravityRAT е името, дадено на крос-платформен злонамеренсофтуер , който може да се насочва към устройства с операционни системиWindows, Android и macOS.
Част от функциите на GravityRAT са да прихваща архиви наWhatsApp и да получава команди за изтриване на файлове. Заплахата също така е всъстояние да прихваща журналите с обаждания, списъци с контакти, SMS-съобщения, местоположение на устройства, обща информация за апарата, файловесъс специални разширения на изображения, както и снимки  и документи .

Лукаш Стефанко от ESET коментира заплахата, като изказапредположение че, заплахата е насочена към конкретни потребители."Haмерихме сайт, който трябва да изтегли злонамерения софтуер, след следкато щракнете върху съответния бутон. Посетителите обаче трябва да са влезли,за да го направят. Hямaxме идентификационни данни и регистрацията не бешеналична. Най-вероятно, нападателите отварят регистрация само когато чакатконкретен потребител , може би с конкретен IP адрес, геолокация, URL-адрес илиза определен период от време."

За наша радост, към момента зловредният софтуер не е наличен в официалниямагазин на Google Play.
Apple и Google работят усилено, за да идентифицират ипремахнат опасните приложения от своите магазини. Въпреки всичките им усилия,киберпрестъпниците ce промъкват през “пукнатините“. 
За съжаление, дориполезните на пръв поглед програми могат да бъдат опасни.

Това, което отличава новата версия на GravityRAT, е нейнатаспособност да краде архивни файлове на WhatsApp и да получава инструкции откомандно-контролния (C2) сървър 
за изтриване на журнали за обаждания, списъци сконтакти и файлове с определени разширения.
„Това са много специфични команди, които обикновено не севиждат в зловреден софтуер за Android“, посочи Стефанко.

GravityRAT е активен поне от 2015 г., но започна да сенасочва към Android за  първи път през2020 г. Неговите оператори, „SpaceCobra“, използват шпионския софтуеризключително и в тесни насочени операции.
Популяризирането на злонамерени APK файлове за Android къмцели е тактика, която операторите на GravityRAT използваха отново през 2021 г., 
използвайки приложение за чат, наречено„SoSafe“, а преди това друго, наречено „Travel Mate Pro“.

Стефанко е открил, че приложението е троянизирана версияна  OMEMO IM , легитимно приложение занезабавни съобщения с отворен код за Android.
„Троянизираното приложение BingeChat е достъпно за изтеглянеот уебсайт, който го представя като безплатна услуга за съобщения и споделянена файлове“, пише Стефанко.
След по-нататъшно разследване анализаторът на ESET установи,че SpaceCobra е използвала OMEMO IM като основа за друго фалшиво приложение,наречено „Chatico“, 
което беше разпространено до цели през лятото на 2022 г.чрез вече офлайн „chatico.co[.]uk“.

Говорител на Google изпрати следния коментар относнозаплахата от GravityRAT:
„Google Play Protect защитава потребителите от приложения,за които е известно, че съдържат този зловреден софтуер на устройства с Androidс услугите на Google Play, дори когато тези приложения идват от другиизточници.“