L’acteur mena\u00e7ant connu sous le nom de Vip\u00e8re aride<\/strong> a \u00e9t\u00e9 attribu\u00e9 \u00e0 une campagne d’espionnage mobile qui exploite des applications Android trojanis\u00e9es pour diffuser une souche de logiciel espion baptis\u00e9e AridSpy.<\/p>\n “Le malware est distribu\u00e9 via des sites Web d\u00e9di\u00e9s se faisant passer pour diverses applications de messagerie, une application d’opportunit\u00e9 d’emploi et une application d’\u00e9tat civil palestinien”, a d\u00e9clar\u00e9 Luk\u00e1\u0161 \u0160tefanko, chercheur d’ESET. dit<\/a> dans un rapport publi\u00e9 aujourd’hui. “Souvent, il s’agit d’applications existantes qui ont \u00e9t\u00e9 transform\u00e9es en chevaux de Troie par l’ajout du code malveillant d’AridSpy.”<\/p>\n L’activit\u00e9 aurait dur\u00e9 jusqu’\u00e0 cinq campagnes depuis 2022, avec des variantes ant\u00e9rieures d’AridSpy document\u00e9es par Zimp\u00e9rium<\/a> et 360 laboratoires de balises<\/a>. Trois des cinq campagnes sont toujours actives.<\/p>\n Arid Viper, un suspect Acteur affili\u00e9 au Hamas<\/a> \u00e9galement appel\u00e9 APT-C-23, Desert Falcon, Grey Karkadann, Mantis et Two-tailed Scorpion, a une longue exp\u00e9rience dans l’utilisation de logiciels malveillants mobiles depuis son \u00e9mergence en 2017.<\/p>\n “Arid Viper a toujours cibl\u00e9 le personnel militaire du Moyen-Orient, ainsi que les journalistes et les dissidents”, SentinelOne not\u00e9<\/a> \u00e0 la fin de l’ann\u00e9e derni\u00e8re, ajoutant que le groupe “continue de prosp\u00e9rer dans le domaine des logiciels malveillants mobiles”.<\/p>\n L’analyse par ESET de la derni\u00e8re version d’AridSpy montre qu’elle a \u00e9t\u00e9 transform\u00e9e en un cheval de Troie \u00e0 plusieurs \u00e9tapes capable de t\u00e9l\u00e9charger des charges utiles suppl\u00e9mentaires \u00e0 partir d’un serveur de commande et de contr\u00f4le (C2) par l’application initiale trojanis\u00e9e.<\/p>\n Les cha\u00eenes d’attaque visent principalement les utilisateurs en Palestine et en \u00c9gypte via de faux sites qui fonctionnent comme des points de distribution pour les applications pi\u00e9g\u00e9es.<\/p>\n Certaines des applications fausses mais fonctionnelles pr\u00e9tendent \u00eatre des services de messagerie s\u00e9curis\u00e9s tels que LapizaChat, NortirChat et ReblyChat, chacun \u00e9tant bas\u00e9 sur des applications l\u00e9gitimes comme StealthChat, Session et Voxer Walkie Talkie Messenger, tandis qu’une autre application pr\u00e9tend provenir de le registre civil palestinien.<\/p>\n Le site Internet de l’\u00e9tat civil palestinien (\u00ab palcivilreg[.]com”), qui a \u00e9t\u00e9 enregistr\u00e9 le 30 mai 2023, a \u00e9galement \u00e9t\u00e9 annonc\u00e9 via un page Facebook d\u00e9di\u00e9e<\/a> qui compte 179 abonn\u00e9s. L’application diffus\u00e9e via le site Web s’inspire de une application du m\u00eame nom<\/a> qui est disponible sur le Google Play Store.<\/p>\n “L’application malveillante disponible sur palcivilreg[.]com n’est pas une version trojanis\u00e9e de l’application sur Google Play\u00a0; cependant, il utilise le serveur l\u00e9gitime de cette application pour r\u00e9cup\u00e9rer des informations”, a d\u00e9clar\u00e9 \u0160tefanko. “Cela signifie qu’Arid Viper s’est inspir\u00e9 des fonctionnalit\u00e9s de cette application mais a cr\u00e9\u00e9 sa propre couche client qui communique avec le serveur l\u00e9gitime.”<\/p>\n ESET a d\u00e9clar\u00e9 avoir d\u00e9couvert en outre qu’AridSpy \u00e9tait diffus\u00e9 sous le couvert d’une application d’opportunit\u00e9 d’emploi \u00e0 partir d’un site Web (\u00ab\u00a0almoshell[.]website”) enregistr\u00e9 en ao\u00fbt 2023. Un aspect notable de l’application est qu’elle n’est bas\u00e9e sur aucune application l\u00e9gitime.<\/p>\n Lors de l’installation, l’application malveillante v\u00e9rifie la pr\u00e9sence de logiciels de s\u00e9curit\u00e9 par rapport \u00e0 une liste cod\u00e9e en dur et proc\u00e8de ensuite au t\u00e9l\u00e9chargement d’une charge utile de premi\u00e8re \u00e9tape uniquement si aucun d’entre eux n’est install\u00e9 sur l’appareil. La charge utile usurpe l’identit\u00e9 d’une mise \u00e0 jour de Services Google\u00a0Play<\/a>.<\/p>\n “Cette charge utile fonctionne s\u00e9par\u00e9ment, sans qu’il soit n\u00e9cessaire d’installer l’application trojanis\u00e9e sur le m\u00eame appareil”, a expliqu\u00e9 \u0160tefanko. “Cela signifie que si la victime d\u00e9sinstalle l’application initiale du cheval de Troie, par exemple LapizaChat, AridSpy ne sera en aucun cas affect\u00e9.”<\/p>\n La principale responsabilit\u00e9 de la premi\u00e8re \u00e9tape est de t\u00e9l\u00e9charger le composant de l’\u00e9tape suivante, qui h\u00e9berge la fonctionnalit\u00e9 malveillante et utilise un domaine Firebase \u00e0 des fins C2.<\/p>\n Le malware prend en charge un large \u00e9ventail de commandes pour collecter des donn\u00e9es sur les appareils et peut m\u00eame se d\u00e9sactiver ou effectuer une exfiltration avec un forfait de donn\u00e9es mobiles. L’exfiltration des donn\u00e9es est initi\u00e9e soit au moyen d’une commande, soit lorsqu’un \u00e9v\u00e9nement sp\u00e9cifiquement d\u00e9fini est d\u00e9clench\u00e9.<\/p>\n “Si la victime verrouille ou d\u00e9verrouille le t\u00e9l\u00e9phone, AridSpy prendra une photo \u00e0 l’aide de la cam\u00e9ra frontale et l’enverra au serveur C&C d’exfiltration”, a d\u00e9clar\u00e9 \u0160tefanko. “Les photos ne sont prises que si plus de 40 minutes se sont \u00e9coul\u00e9es depuis la derni\u00e8re photo et si le niveau de la batterie est sup\u00e9rieur \u00e0 15 %.”<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/06\/Arid-Viper-lance-une-campagne-despionnage-mobile-avec-le-logiciel.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n