Ένα νέο Android Trojan, θα μπορούσε να κλέβει τα δεδομένα σας μέσω mobile εφαρμογών ανταλλαγής μηνυμάτων, όπως το Facebook Messenger, το Twitter και το Skype.
Αυτό το κακόβουλο λογισμικό εντοπίστηκε από ερευνητές ασφαλείας της Trustlook, μιας εταιρείας διαδικτυακής ασφάλειας. Μια έκθεση που δημοσιεύθηκε τη Δευτέρα περιγράφει το νέο Trojan ως απλό και με λίγες δυνατότητες.
Αφού μολύνει την εφαρμογή, το Trojan προσπαθεί να τροποποιήσει το αρχείο “/system/etc/install-recovery.sh” για να ενεργοποιήσει την εκτέλεση του, κάθε φορά που ανοίγει η εφαρμογή.
Φαίνεται ότι ο πρωταρχικός σκοπός αυτού του κακόβουλου λογισμικού είναι να κλέψει δεδομένα από εφαρμογές ανταλλαγής μηνυμάτων, τα οποία αργότερα μεταφορτώνονται σε κάποιο απομακρυσμένο διακομιστή. Το Trojan ανακτά την διεύθυνση IP αυτού του διακομιστή από ένα τοπικό αρχείο ρυθμίσεων.
Ακολουθεί η λίστα εφαρμογών που ενδέχεται να επηρεαστούν από αυτό το κακόβουλο λογισμικό:
- Facebook Messenger
- Skype
- Telegram Messenger
- Tencent WeChat
- Viber
- Voxer Walkie Talkie Messenger
- Gruveo Magic Call
- Line
- Coco
- BeeTalk
- TalkBox Voice Messenger
- Momo
Αν και έχει απλό σχεδιασμό και εστιάζει αποκλειστικά στην εξαγωγή δεδομένων εφαρμογών ανταλλαγής μηνυμάτων, αυτό το κακόβουλο λογισμικό χρησιμοποιεί ορισμένες προηγμένες τεχνικές, ώστε να μην είναι ανιχνεύσιμο.
Σύμφωνα με την Trustlook Labs, το Trojan συγκαλύπτει το configuration file και μέρος του κακόβουλου κώδικά του, ώστε να αποφευχθεί η ανίχνευση, γεγονός που καθιστά δύσκολο τον εντοπισμό του από ένα λογισμικό προστασίας από ιούς.
Δεδομένου ότι το συγκεκριμένο Android Trojan έχει έναν μόνο στόχο (να κλέβει δεδομένα), είναι πολύ πιθανό οι δημιουργοί του να προσπαθούν να συλλέξουν ευαίσθητες πληροφορίες και δεδομένα μέσω ιδιωτικών συνομιλιών, εικόνων και βίντεο που θα μπορούσαν αργότερα να τα χρησιμοποιήσουν για να εκβιάσουν τα θύματά τους.
Παρόλο που δεν είναι σαφές από πού προέρχεται αυτό το κακόβουλο λογισμικό, οι ερευνητές της Trustlab το εντόπισαν σε μια κινεζική εφαρμογή που ονομάζεται Cloud Module, εμφανιζόμενο ως com.android.boxa.
Λαμβάνοντας μάλιστα υπόψη το ότι το κακόβουλο λογισμικό έχει κινεζικό όνομα, και δεδομένης της μη διαθεσιμότητας του Play Store στην Κίνα, οι δημιουργοί του είναι πολύ πιθανόν να το διαδίδουν μέσω συνδέσμων σε φόρουμ εφαρμογών Android ή μέσω ανεπίσημων καταστημάτων εφαρμογών και ιστότοπων τρίτων κατασκευαστών.
