Malware AbstractEmu na Androida „rootuje” smartfony i unika wykrycia
Naukowcy z Lookout Threat Labs odkrył nowe złośliwe oprogramowanie na Androida o nazwie AbstractEmu, które „rootują” zainfekowane urządzenia, co w ostatnich latach stało się dość rzadką praktyką w przypadku takiego złośliwego oprogramowania.
StreszczenieEmu przyszedł w pakiecie z 19 aplikacje dystrybuowane przez Google Sklepy z aplikacjami Play i innych firm (łącznie z Amazonka Sklep z aplikacjami, Samsung Sklep Galaxy, Aptoide, i 1).
Zainfekowane aplikacje to menedżery haseł i różne narzędzia systemowe, w tym narzędzia do zapisywania danych i uruchamiania aplikacji. W tym samym czasie, w celu uniknięcia podejrzeń, wszystkie naprawdę działały i miały deklarowaną funkcjonalność.
Złośliwe aplikacje zostały usunięte ze sklepu Google Play, ale inne sklepy z aplikacjami prawdopodobnie nadal je dystrybuują. Badacze twierdzą, że tylko jedna z zainfekowanych aplikacji, Lite Launcher, miał skończony 10,000 pobiera po usunięciu z Google Play.
Po instalacji AbstractEmu zaczyna zbierać i wysyłać różne informacje o systemie do swojego serwera kontrolno-zarządzającego i czeka na kolejne polecenia.
Po tym, Operatorzy AbstractEmu mogą wydawać złośliwemu oprogramowaniu różne polecenia, na przykład, uzyskać uprawnienia roota, zbieraj i kradnij pliki w zależności od tego, jak nowe są lub pasują do danego wzorca, i zainstaluj nowe aplikacje.
AbstractEmu ma w swoim arsenale exploity dla kilku znanych luk w zabezpieczeniach, aby uzyskać uprawnienia roota na zainfekowanych urządzeniach. Raport eksperta zauważa, że jeden z błędów, CVE-2020-0041, nigdy wcześniej nie był używany przez aplikacje na Androida.
Złośliwe oprogramowanie wykorzystuje również w atakach publicznie dostępne exploity w celu rozwiązywania problemów CVE-2019-2215 i CVE-2020-0041, i podatność CVE-2020-0069, znalezione w MediaTek frytki, szeroko stosowany przez dziesiątki producentów smartfonów i zainstalowany na milionach urządzeń.
Po zrootowaniu urządzenia, AbstractEmu może śledzić powiadomienia, robić zrzuty ekranu i nagrywać wideo z ekranu, a nawet zablokować urządzenie lub zresetować jego hasło.
Przypomnę, że my też to napisaliśmy Złośliwe oprogramowanie na Androida GriftKoń zainfekowany przez 10 miliony urządzeń.
