Los Hackers están utilizando una aplicación falsa de Android llamada "SafeChat" para infectar los dispositivos con malware espía que roba registros de llamadas, mensajes de texto y ubicaciones GPS de los teléfonos.
Se sospecha que el software espía para Android es una variante de "Coverlm", que roba datos de aplicaciones de comunicación como Telegram, Signal, WhatsApp, Viber y Facebook Messenger.
Los investigadores de CYFIRMA dicen que el grupo indio de Hacking APT 'Bahamut' está detrás de la campaña, con sus últimos ataques realizados principalmente a través de mensajes de phishing en WhatsApp que envían las cargas maliciosas directamente a la víctima.
Además, los analistas de CYFIRMA destacan varias similitudes de la TTP con otro grupo de amenazas patrocinado por el estado indio, la 'DoNot APT' (APT-C-35), que ya ha infestado Google Play con aplicaciones de chat falsas que actúan como spyware.
A finales del año pasado, ESET informó de que el grupo Bahamut estaba utilizando aplicaciones VPN falsas para la plataforma Android que incluían amplias funciones de spyware.
En la última campaña observada por CYFIRMA, Bahamut se dirige a personas del sur de Asia.
"Detalles del "chat seguro
Aunque CYFIRMA no profundiza en los detalles de la ingeniería social del ataque, es habitual convencer a las víctimas para que instalen una aplicación de chat con el pretexto de trasladar la conversación a una plataforma más segura.
Los analistas informan de que Safe Chat cuenta con una interfaz engañosa que hace que parezca una aplicación de chat real y también lleva a la víctima a través de un proceso de registro de usuario aparentemente legítimo que añade credibilidad y sirve como una excelente tapadera para el spyware.
Un paso crítico en la infección es la adquisición de permisos para utilizar los Servicios de Accesibilidad, de los que posteriormente se abusa para conceder automáticamente más permisos al spyware.
Estos permisos adicionales permiten al spyware acceder a la lista de contactos de la víctima, SMS, registros de llamadas, almacenamiento externo del dispositivo y obtener datos precisos de localización GPS del dispositivo infectado.
La aplicación también solicita al usuario que apruebe la exclusión del subsistema de optimización de batería de Android, que finaliza los procesos en segundo plano cuando el usuario no está interactuando activamente con la aplicación.
"Otro fragmento del archivo Android Manifest muestra que el autor de la amenaza diseñó la aplicación para interactuar con otras aplicaciones de chat ya instaladas", explica CYFIRMA.
"La interacción tendrá lugar utilizando intents, el permiso OPEN_DOCUMENT_TREE seleccionará directorios específicos y accederá a las apps mencionadas en el intent".
Un módulo dedicado a la exfiltración de datos transfiere información desde el dispositivo al servidor C2 del atacante a través del puerto 2053.
Los datos robados se cifran mediante otro módulo compatible con RSA, ECB y OAEPPadding. Al mismo tiempo, los atacantes también utilizan un certificado "letsencrypt" para evadir cualquier esfuerzo de interceptación de datos de red en su contra.
CYFIRMA concluye el informe afirmando que dispone de pruebas suficientes para vincular a Bahamut con el trabajo en nombre de un gobierno estatal concreto de la India.
Además, el uso de la misma autoridad de certificación que el grupo DoNot APT, las metodologías similares de robo de datos, el alcance común de los objetivos y el uso de aplicaciones de Android para infectar a los objetivos indican una superposición o una estrecha colaboración entre los dos grupos.
Fuente: bleepingcomputer