El actor de amenazas conocido como V\u00edbora \u00e1rida<\/strong> se ha atribuido a una campa\u00f1a de espionaje m\u00f3vil que aprovecha aplicaciones troyanizadas de Android para entregar una cepa de software esp\u00eda denominada AridSpy.<\/p>\n “El malware se distribuye a trav\u00e9s de sitios web dedicados que se hacen pasar por varias aplicaciones de mensajer\u00eda, una aplicaci\u00f3n de oportunidades laborales y una aplicaci\u00f3n del Registro Civil Palestino”, dijo el investigador de ESET Luk\u00e1\u0161 \u0160tefanko. dicho<\/a> en un informe publicado hoy. “A menudo se trata de aplicaciones existentes que han sido troyanizadas mediante la adici\u00f3n del c\u00f3digo malicioso de AridSpy”.<\/p>\n Se dice que la actividad abarc\u00f3 hasta cinco campa\u00f1as desde 2022, con variantes anteriores de AridSpy documentadas por Zimperio<\/a> y Laboratorios de baliza 360<\/a>. Tres de las cinco campa\u00f1as siguen activas.<\/p>\n Arid Viper, una sospechosa Actor afiliado a Ham\u00e1s<\/a> quien tambi\u00e9n se llama APT-C-23, Desert Falcon, Gray Karkadann, Mantis y Two-tailed Scorpion, tiene un largo historial de uso de malware m\u00f3vil desde su aparici\u00f3n en 2017.<\/p>\n “Hist\u00f3ricamente, Arid Viper ha atacado a personal militar en Medio Oriente, as\u00ed como a periodistas y disidentes”, SentinelOne anotado<\/a> A fines del a\u00f1o pasado, agreg\u00f3 que el grupo “contin\u00faa prosperando en el espacio del malware m\u00f3vil”.<\/p>\n El an\u00e1lisis de ESET de la \u00faltima versi\u00f3n de AridSpy muestra que se ha transformado en un troyano de varias etapas que puede descargar cargas \u00fatiles adicionales desde un servidor de comando y control (C2) mediante la aplicaci\u00f3n troyana inicial.<\/p>\n Las cadenas de ataques implican principalmente atacar a usuarios en Palestina y Egipto a trav\u00e9s de sitios falsos que funcionan como puntos de distribuci\u00f3n para las aplicaciones trampa.<\/p>\n Algunas de las aplicaciones falsas pero funcionales afirman ser servicios de mensajer\u00eda seguros, como LapizaChat, NortirChat y ReblyChat, cada uno de los cuales se basa en aplicaciones leg\u00edtimas como StealthChat, Session y Voxer Walkie Talkie Messenger, mientras que otra aplicaci\u00f3n pretende ser de el Registro Civil Palestino.<\/p>\n El sitio web del Registro Civil Palestino (“palcivilreg[.]com”), que se registr\u00f3 el 30 de mayo de 2023, tambi\u00e9n se anuncia a trav\u00e9s de un p\u00e1gina de facebook dedicada<\/a> que tiene 179 seguidores. La aplicaci\u00f3n propagada a trav\u00e9s del sitio web est\u00e1 inspirada en una aplicaci\u00f3n del mismo nombre<\/a> que est\u00e1 disponible en Google Play Store.<\/p>\n “La aplicaci\u00f3n maliciosa disponible en palcivilreg[.]com no es una versi\u00f3n troyanizada de la aplicaci\u00f3n en Google Play; sin embargo, utiliza el servidor leg\u00edtimo de esa aplicaci\u00f3n para recuperar informaci\u00f3n”, dijo \u0160tefanko. “Esto significa que Arid Viper se inspir\u00f3 en la funcionalidad de esa aplicaci\u00f3n pero cre\u00f3 su propia capa de cliente que se comunica con el servidor leg\u00edtimo”.<\/p>\n ESET dijo que descubri\u00f3 adem\u00e1s que AridSpy se difund\u00eda bajo la apariencia de una aplicaci\u00f3n de oportunidades laborales desde un sitio web (“almoshell[.]sitio web”) registrado en agosto de 2023. Un aspecto notable de la aplicaci\u00f3n es que no se basa en ninguna aplicaci\u00f3n leg\u00edtima.<\/p>\n Tras la instalaci\u00f3n, la aplicaci\u00f3n maliciosa busca la presencia de software de seguridad en una lista codificada y contin\u00faa descargando una carga \u00fatil de primera etapa solo si ninguno de ellos est\u00e1 instalado en el dispositivo. La carga \u00fatil se hace pasar por una actualizaci\u00f3n de Servicios de Google Play<\/a>.<\/p>\n “Esta carga \u00fatil funciona por separado, sin necesidad de tener la aplicaci\u00f3n troyanizada instalada en el mismo dispositivo”, explic\u00f3 \u0160tefanko. “Esto significa que si la v\u00edctima desinstala la aplicaci\u00f3n troyanizada inicial, por ejemplo LapizaChat, AridSpy no se ver\u00e1 afectado de ninguna manera”.<\/p>\n La principal responsabilidad de la primera etapa es descargar el componente de la siguiente etapa, que alberga la funcionalidad maliciosa y utiliza un dominio de Firebase para fines C2.<\/p>\n El malware admite una amplia gama de comandos para recopilar datos de los dispositivos e incluso puede desactivarse o realizar una exfiltraci\u00f3n cuando tiene un plan de datos m\u00f3viles. La exfiltraci\u00f3n de datos se inicia mediante un comando o cuando se activa un evento espec\u00edficamente definido.<\/p>\n “Si la v\u00edctima bloquea o desbloquea el tel\u00e9fono, AridSpy tomar\u00e1 una fotograf\u00eda con la c\u00e1mara frontal y la enviar\u00e1 al servidor C&C de exfiltraci\u00f3n”, dijo \u0160tefanko. “Las fotograf\u00edas se toman s\u00f3lo si han pasado m\u00e1s de 40 minutos desde la \u00faltima fotograf\u00eda y el nivel de la bater\u00eda est\u00e1 por encima del 15%”.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/06\/Arid-Viper-lanza-una-campana-de-espionaje-movil-con-el.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n