ESET-Alerte sur la campagne d’espionnage StrongPity : ciblant les utilisateurs d’Androïd

 

Le monde numérique offre certes de très grandes opportunités d’interconnexion, mais le risque sécuritaire qui l’accompagne est un enjeu de taille. Les chercheurs d’ESET ont identifié une campagne active, depuis novembre 2021, qui distribue une application malveillante. La campagne est attribuée à StrongPity qui est une version entièrement fonctionnelle mais frauduleuse de Shagle- un service de vidéo-chat aléatoire qui fournit des communications cryptées entre inconnus.

Les modalités d’espionnage de StrongPity sont redoutables avec onze modules déclenchés dynamiquement qui peuvent enregistrer des appels téléphoniques, collecter des SMS, avoir accès aux journaux d’appels ou à la liste de contacts. Pis, en accordant l’accessibilité à l’application malveillante StrongPity, l’un de ses modules est en mesure d’exfiltrer les communications de 17 applications telles que Viber, Skype, Gmail, Messenger…

Une seule autre campagne Androïd a été précédemment attribuée à StrongPity. C’est la première fois que les modules décrits et leurs fonctionnalités sont documentés publiquement. Un site web copieur, imitant le service Shagle, est utilisé pour distribuer l’application mobile de porte dérobée de StrongPity. L’application est une version modifiée de l’application open-source Telegram, reconditionnée avec le code de porte dérobée StrongPity.

Sur la base des similitudes avec le code de porte dérobée StrongPity précédent et l’application signée avec un certificat d’une campagne StrongPity antérieure, nous attribuons cette menace au groupe StrongPity APT. La porte dérobée de StrongPity est modulaire, où tous les modules binaires nécessaires sont cryptés à l’aide d’AES et téléchargés à partir de son serveur C&C, et dispose de diverses fonctionnalités d’espionnage.

Les chercheurs d’ESET, 1^er  éditeur européen de solutions de sécurité, ont identifié une campagne StrongPity active distribuant une version  « trojanisée » de l’application Androïd Telegram. Active depuis novembre 2021, la campagne a distribué une application malveillante via un site Web se faisant passer pour Shagle – un service de chat vidéo aléatoire qui fournit des communications cryptées entre étrangers. Contrairement au site Shagle authentique entièrement basé sur le Web qui n’offre pas d’application mobile officielle pour accéder à ses services, le site imitateur ne fournit qu’une application Androïd à télécharger et aucun streaming sur le Web n’est possible.

Cette porte dérobée StrongPity possède diverses fonctionnalités d’espionnage : ses 11 modules déclenchés dynamiquement sont responsables de l’enregistrement des appels téléphoniques, de la collecte des messages SMS, des listes des journaux d’appels, des listes de contacts, et bien plus encore. Ces modules sont documentés pour la toute première fois. Si la victime accorde les services d’accessibilité de l’application malveillante StrongPity, l’un de ses modules aura également accès aux notifications entrantes et pourra exfiltrer les communications de 17 applications telles que Viber, Skype, Gmail, Messenger ainsi que Tinder.

Pour plus d’informations techniques sur l’attaque du groupe StrongPity, consultez l’article « StrongPity espionage campaign targeting Android users » sur WeLiveSecurity. Suivez l’actualité d’ESET Research sur Twitter.

ESET

Depuis plus de 30 ans, ESET® développe des logiciels et des services de sécurité informatique pour protéger le patrimoine numérique des entreprises, les infrastructures critiques et les consommateurs du monde entier contre des cybermenaces. Nous protégeons les terminaux fixes et mobiles, les outils collaboratifs et assurons la détection et le traitement des incidents. Établit dans le monde entier, nos centres de R&D récoltent et analysent les cybermenaces pour protéger nos clients et notre monde numérique. 

Ledebativoirien.net