Kaspersky ha identificato un modulo dannoso di spyware per Android precedentemente sconosciuto inserito all’interno di un’applicazione di viaggi per utenti indiani. Un’analisi più approfondita ha rivelato che il modulo era collegato a GravityRAT, un Remote Access Trojan (RAT) noto per aver condotto alcune operazioni in India. Ulteriori indagini hanno confermato che il gruppo autore del malware ha realizzato uno strumento multipiattaforma che oltre a prendere di mira i sistemi operativi Windows, può essere utilizzato su Android e Mac OS. La campagna è ancora attiva.
Come funziona il nuovo spyware GravityRAT
Nel 2018, i ricercatori di sicurezza informatica hanno pubblicato un report sugli sviluppi di GravityRAT, tool utilizzato in attacchi mirati contro i servizi militari indiani. Secondo i dati raccolti da Kaspersky, la campagna è attiva almeno dal 2015 e si concentra principalmente sui sistemi operativi Windows. Tuttavia, da circa due anni, il gruppo criminale ha aggiunto Android alla lista degli obiettivi.
Un’ulteriore prova di questo cambiamento è rappresentata proprio dal modulo identificato, che non presenta le caratteristiche tipiche di uno spyware per Android. Ad esempio, per condurre un’attività malevole devono essere selezionati un’applicazione specifica e il codice dannoso, come spesso accade, non si basava sul codice di applicazioni spyware precedentemente conosciute. Questo ha spinto i ricercatori di Kaspersky a confrontare il modulo individuato con le famiglie APT già note.
L’analisi degli indirizzi di comando e controllo (C&C) utilizzati ha permesso di scoprire ulteriori moduli dannosi, riconducibili anche all’autore di GravityRAT. Complessivamente, sono state individuate più di 10 versioni di GravityRAT, distribuite sfruttando il nome di applicazioni legittime come le applicazioni di file sharing sicure che contribuiscono a proteggere i dispositivi degli utenti dalla crittografia dei trojan, o dei media player. Questi moduli, utilizzati insieme, hanno permesso al gruppo di penetrare nei sistemi operativi Windows, Mac OS e Android.
L’elenco delle funzioni abilitate, nella maggior parte dei casi, era standard e tipico di uno spyware. I moduli erano in grado di recuperare i dati del dispositivo, le liste dei contatti, gli indirizzi e-mail, i registri delle chiamate e i messaggi SMS. Alcuni trojan cercavano inoltre file con estensione .jpg, .jpeg, .log, .png, .txt, .pdf, .xml, .doc, .xls, .xlsx, .ppt, .pptx, .docx e .opus nella memoria del dispositivo per inviarli anche al server di comando e controllo (C&C).
Come difendersi da GravityRAT
Per proteggersi dalle minacce degli spyware, Kaspersky raccomanda di fornire al team SOC (Security Operation Center) l’accesso alla threat intelligence (TI) più aggiornata. Quindi di implementare soluzioni EDR affidabili per il rilevamento a livello di endpoint, l’indagine e il tempestivo ripristino dagli incidenti. Dopodiché di utilizzare una soluzione di sicurezza degli endpoint con un controllo delle applicazioni mobili per proteggere i dispositivi aziendali, compresi quelli Android, dalle applicazioni dannose. Questa soluzione garantisce che solo le applicazioni legittime di una whitelist approvata possano essere installate su dispositivi che hanno accesso a dati aziendali sensibili.
