Les utilisateurs en Russie ont \u00e9t\u00e9 la cible d’un logiciel espion post-compromission Android jusqu’alors non document\u00e9 appel\u00e9 LianSpy<\/strong> depuis au moins 2021.<\/p>\n Le fournisseur de cybers\u00e9curit\u00e9 Kaspersky, qui a d\u00e9couvert le malware en mars 2024, a not\u00e9 son utilisation de Yandex Cloud, un service cloud russe, pour les communications de commande et de contr\u00f4le (C2) comme moyen d’\u00e9viter d’avoir une infrastructure d\u00e9di\u00e9e et d’\u00e9chapper \u00e0 la d\u00e9tection.<\/p>\n \u00ab Cette menace est \u00e9quip\u00e9e pour capturer des screencasts, exfiltrer des fichiers utilisateurs et r\u00e9colter des journaux d’appels et des listes d’applications \u00bb, a d\u00e9clar\u00e9 le chercheur en s\u00e9curit\u00e9 Dmitry Kalinin. dit<\/a> dans un nouveau rapport technique publi\u00e9 lundi.<\/p>\n On ne sait pas encore exactement comment le logiciel espion est distribu\u00e9, mais l’entreprise russe a d\u00e9clar\u00e9 qu’il \u00e9tait probablement d\u00e9ploy\u00e9 via une faille de s\u00e9curit\u00e9 inconnue ou un acc\u00e8s physique direct au t\u00e9l\u00e9phone cibl\u00e9. Les applications contenant des logiciels malveillants se font passer pour Alipay ou un service syst\u00e8me Android.<\/p>\n LianSpy, une fois activ\u00e9, d\u00e9termine s’il s’ex\u00e9cute en tant qu’application syst\u00e8me pour fonctionner en arri\u00e8re-plan \u00e0 l’aide de privil\u00e8ges d’administrateur, ou bien demande un large \u00e9ventail d’autorisations qui lui permettent d’acc\u00e9der aux contacts, aux journaux d’appels et aux notifications, et de dessiner des superpositions au-dessus de l’\u00e9cran.<\/p>\n Il v\u00e9rifie \u00e9galement s’il s’ex\u00e9cute dans un environnement de d\u00e9bogage pour configurer une configuration qui persiste apr\u00e8s les red\u00e9marrages, puis masque son ic\u00f4ne du lanceur et d\u00e9clenche des activit\u00e9s telles que la prise de captures d’\u00e9cran, l’exfiltration de donn\u00e9es et la mise \u00e0 jour de sa configuration pour sp\u00e9cifier les types d’informations qui doivent \u00eatre captur\u00e9es.<\/p>\n Dans certaines variantes, cela incluait des options permettant de collecter des donn\u00e9es \u00e0 partir d’applications de messagerie instantan\u00e9e populaires en Russie, ainsi que d’autoriser ou d’interdire l’ex\u00e9cution du logiciel malveillant uniquement s’il est connect\u00e9 au Wi-Fi ou \u00e0 un r\u00e9seau mobile, entre autres.<\/p>\n \u00ab Pour mettre \u00e0 jour la configuration du logiciel espion, LianSpy recherche un fichier correspondant \u00e0 l’expression r\u00e9guli\u00e8re \u00ab ^frame_.+\\.png$ \u00bb sur le disque Yandex d’un acteur malveillant toutes les 30 secondes \u00bb, a d\u00e9clar\u00e9 Kalinin. \u00ab S’il est trouv\u00e9, le fichier est t\u00e9l\u00e9charg\u00e9 dans le r\u00e9pertoire de donn\u00e9es interne de l’application. \u00bb<\/p>\n Les donn\u00e9es r\u00e9colt\u00e9es sont stock\u00e9es sous forme crypt\u00e9e dans une table de base de donn\u00e9es SQL, sp\u00e9cifiant le type d’enregistrement et son hachage SHA-256, de sorte que seul un acteur malveillant en possession de la cl\u00e9 RSA priv\u00e9e correspondante puisse d\u00e9crypter les informations vol\u00e9es.<\/p>\n L\u00e0 o\u00f9 LianSpy d\u00e9montre sa furtivit\u00e9, c’est dans sa capacit\u00e9 \u00e0 contourner les indicateurs de confidentialit\u00e9<\/a> fonctionnalit\u00e9 introduite par Google dans Android 12, qui oblige les applications demandant des autorisations de microphone et d’appareil photo \u00e0 afficher une ic\u00f4ne de barre d’\u00e9tat. <\/p>\n \u00ab Les d\u00e9veloppeurs de LianSpy ont r\u00e9ussi \u00e0 contourner cette protection en ajoutant une valeur cast au param\u00e8tre de configuration s\u00e9curis\u00e9e Android icon_blacklist, ce qui emp\u00eache les ic\u00f4nes de notification d’appara\u00eetre dans la barre d’\u00e9tat \u00bb, a soulign\u00e9 Kalinin.<\/p>\n \u00ab LianSpy masque les notifications des services d’arri\u00e8re-plan qu’il appelle en exploitant le NotificationListenerService qui traite les notifications de la barre d’\u00e9tat et est capable de les supprimer. \u00bb<\/p>\n Un autre aspect sophistiqu\u00e9 du logiciel malveillant implique l\u2019utilisation de su binaire<\/a> avec un nom modifi\u00e9 \u00ab\u00a0mu\u00a0\u00bb pour obtenir un acc\u00e8s root, ce qui soul\u00e8ve la possibilit\u00e9 qu’il soit probablement d\u00e9livr\u00e9 via un exploit jusqu’alors inconnu ou un acc\u00e8s \u00e0 un appareil physique.<\/p>\n L’accent mis par LianSpy sur la discr\u00e9tion est \u00e9galement mis en \u00e9vidence par le fait que les communications C2 sont unidirectionnelles, le malware ne recevant aucune commande entrante. Le service Yandex Disk est utilis\u00e9 \u00e0 la fois pour transmettre les donn\u00e9es vol\u00e9es et pour stocker les commandes de configuration.<\/p>\n Les informations d’identification de Yandex Disk sont mises \u00e0 jour \u00e0 partir d’une URL Pastebin cod\u00e9e en dur, qui varie selon les variantes de malware. L’utilisation de services l\u00e9gitimes ajoute une couche d’obscurcissement, brouillant ainsi efficacement l’attribution.<\/p>\n LianSpy est le dernier ajout \u00e0 une liste croissante d’outils d’espionnage, qui sont souvent livr\u00e9s aux appareils mobiles cibles – qu’ils soient Android ou iOS – en exploitant les failles zero-day.<\/p>\n \u00ab Au-del\u00e0 des tactiques d’espionnage standard comme la collecte des journaux d’appels et des listes d’applications, il exploite les privil\u00e8ges root pour l’enregistrement d’\u00e9cran et l’\u00e9vasion secr\u00e8tes \u00bb, a d\u00e9clar\u00e9 Kalinin. \u00ab Son recours \u00e0 un binaire su renomm\u00e9 sugg\u00e8re fortement une infection secondaire suite \u00e0 une compromission initiale. \u00bb<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/08\/Le-nouveau-logiciel-espion-Android-LianSpy-echappe-a-la-detection.png\")
<\/a><\/center><\/div>\n<\/a><\/center><\/section>\n