El prol\u00edfico actor de estado-naci\u00f3n vinculado a China conocido como APT41 ha sido vinculado a dos cepas de software esp\u00eda de Android previamente no documentadas llamadas WyrmSpy y DragonEgg.<\/p>\n
“Conocido por su explotaci\u00f3n de aplicaciones orientadas a la web y la infiltraci\u00f3n de dispositivos de punto final tradicionales, un actor de amenazas establecido como APT 41, que incluye dispositivos m\u00f3viles en su arsenal de malware, muestra c\u00f3mo los puntos finales m\u00f3viles son objetivos de alto valor con datos corporativos y personales codiciados”, Lookout dicho<\/a> en un informe compartido con The Hacker News.<\/p>\n Se sabe que APT41, tambi\u00e9n rastreado con los nombres Axiom, Blackfly, Brass Typhoon (anteriormente Bario), Bronze Atlas, HOODOO, Wicked Panda y Winnti, est\u00e1 operativo desde al menos 2007, apuntando a una amplia gama de industrias para llevar a cabo el robo de propiedad intelectual. .<\/p>\n Los ataques recientes montados por el colectivo adversario han aprovechado una herramienta de equipo rojo de c\u00f3digo abierto conocida como Google Command and Control (GC2) como parte de los ataques dirigidos a los medios y plataformas de trabajo en Taiw\u00e1n e Italia.<\/p>\n Se desconoce el vector de intrusi\u00f3n inicial para la campa\u00f1a de software de vigilancia m\u00f3vil, aunque se sospecha que involucr\u00f3 el uso de ingenier\u00eda social. Lookout dijo que detect\u00f3 por primera vez WyrmSpy ya en 2017 y DragonEgg a principios de 2021, con nuevas muestras de este \u00faltimo detectadas en abril de 2023.<\/p>\n WyrmSpy se disfraza principalmente como una aplicaci\u00f3n de sistema predeterminada utilizada para mostrar notificaciones al usuario. Sin embargo, las variantes posteriores han empaquetado el malware en aplicaciones que se hacen pasar por contenido de video para adultos, Baidu Waimai y Adobe Flash. Por otro lado, DragonEgg se ha distribuido en forma de teclados Android de terceros y aplicaciones de mensajer\u00eda como Telegram.<\/p>\n No hay evidencia de que estas aplicaciones maliciosas se hayan propagado a trav\u00e9s de Google Play Store.<\/p>\n Las conexiones de WyrmSpy y DragonEgg a APT41 surgen del uso de un comando y servidor (C2) con la direcci\u00f3n IP 121.42.149[.]52, que se resuelve en un dominio (“vpn2.umisen[.]com”) previamente identificado como asociado a la infraestructura del grupo.<\/p>\n Una vez instaladas, ambas cepas de malware solicitan permisos intrusivos y vienen equipadas con capacidades sofisticadas de recolecci\u00f3n y exfiltraci\u00f3n de datos, recolectando fotos, ubicaciones, mensajes SMS y grabaciones de audio de los usuarios.<\/p>\n Tambi\u00e9n se ha observado que el malware se basa en m\u00f3dulos que se descargan de un servidor C2 ahora fuera de l\u00ednea despu\u00e9s de la instalaci\u00f3n de la aplicaci\u00f3n para facilitar la recopilaci\u00f3n de datos y, al mismo tiempo, evitar la detecci\u00f3n.<\/p>\n WyrmSpy, por su parte, es capaz de deshabilitar Security-Enhanced Linux (SELinux), una funci\u00f3n de seguridad en Android, y hacer uso de herramientas de enraizamiento como KingRoot11 para obtener privilegios elevados en los tel\u00e9fonos comprometidos. Una caracter\u00edstica notable de DragonEgg es que establece contacto con el servidor C2 para obtener un m\u00f3dulo terciario desconocido que se hace pasar por un programa forense.<\/p>\n Prot\u00e9jase contra las amenazas internas: Domine la gesti\u00f3n de la postura de seguridad de SaaS<\/p>\n <\/a><\/p>\n \u00bfPreocupado por las amenazas internas? \u00a1Te tenemos cubierto! \u00danase a este seminario web para explorar estrategias pr\u00e1cticas y los secretos de la seguridad proactiva con SaaS Security Posture Management.<\/p>\n