LightSpy APT Ödeme Verilerini Çalmak İçin WeChat Kullanıcılarına Saldırıyor

Hong Kong’daki iOS kullanıcılarına karşı gerçekleştirilen bir sulama deliği saldırısından sorumlu olan LightSpy kötü amaçlı yazılımının, mobil kullanıcılara saldırmak için Android implant Core ve 20 aktif sunucudaki 14 ilgili eklentisine gömülü olduğu keşfedildi.

LightSpy, mobil kullanıcılara saldırmak için yeni ve gelişmiş teknikler kullanan bir Mobil Gelişmiş Kalıcı Tehdittir (mAPT). Bu kötü amaçlı yazılımın devlet destekli APT41 grubuna atfedildiği doğrulandı.

Son raporlar, kötü amaçlı yazılımın ödeme verilerine erişmek, özel iletişimleri izlemek ve çeşitli kötü amaçlı faaliyetler gerçekleştirmek için WeChat ödeme sistemlerini kullandığını gösteriyor.

LightSpy APT WeChat Kullanıcılarına Saldırıyor

Cyber ​​Security News ile paylaşılan raporlara göre LightSpy kötü amaçlı yazılımının, özel ve ödeme verilerinin sızdırılması için çeşitli eklentiler kullandığı tespit edilen tam özellikli modüler bir gözetim araç seti olduğu ortaya çıktı. Ek olarak, kötü amaçlı yazılım büyük ölçüde kurbanın özel bilgilerine odaklanıyor.

Özellikleri arasında, arka uç altyapısını kullanarak WeChat Pay’den ödeme verilerinin sızdırılması ve mağdurların VOIP konuşmalarını kaydetmek için WeChat’ten ses ile ilgili işlevler elde edilmesi yer alıyor.

Ancak bu kötü amaçlı yazılım, aynı zamanda bir eklenti olduğundan bağımsız bir uygulama olarak çalışamaz. Üstelik kötü amaçlı yazılımın çekirdeği, saldırı zincirinin tamamı için gereken tüm işlevleri yerine getirmekten sorumludur.

Temel işlevler arasında cihaz parmak izi toplama, sunucu bağlantısının kurulmasını kontrol etme, sunucudan komutları alma ve kendini güncelleme ve eklenti olarak da adlandırılan ek yük dosyaları yer alır.

LightSpy’ın 14 Eklentisi

Kötü amaçlı yazılıma; yumuşak liste, temel bilgi, fatura, kamera modülü, sohbet dosyası, dosya yöneticisi, konum modülü, konumBaidu, qq, kabuk, ses kaydı, telgraf, wechat ve wifi içeren birden fazla eklenti eklendi.

Kaynak: ThreatFabric

En önemli eklentilerden biri, raporda da belirtildiği gibi, konum takibinden sorumlu olan, mevcut konumun anlık görüntüsünü gönderebilen veya belirli zaman aralıklarıyla konum takibi kurabilen konum modülü eklentisiydi. Bu eklenti iki konum izleme çerçevesine dayanmaktadır: Tencent konum SDK’sı ve Baidu konum SDK’sı.

Bir diğer önemli eklenti ise ses kaydından sorumlu olan Soundrecord eklentisiydi. Bu eklenti aynı zamanda mikrofon kaydını anında veya belirli aralıklarla başlatabilir. Üstelik bu eklenti gelen telefon görüşmelerini de kaydedebiliyor.

Fatura eklentisi, WeChat Pay’den (Çin’de Weixin Pay) kurbanın ödeme geçmişi hakkında bilgi toplamaktan sorumlu olan ve işlenen ödemenin son fatura kimliğini, fatura türünü, işlem kimliğini, tarihini ve bayrağını içeren bir diğer önemli eklentidir. .

iOS ve Android komutları arasındaki ilişki (Kaynak: ThreatFabric)

ThreatFabric tarafından LightSpy hakkında tehdit vektörü, kaynak kodu, analiz ve diğer bilgiler hakkında ayrıntılı bilgi sağlayan eksiksiz bir rapor yayınlandı.

Uzlaşma Göstergeleri

Kontrol sunucuları:

ALANLAR

uzayskd[.]iletişim

IP’ler

103.27.108[.]207

46.17.43[.]74

Dosya karmaları:

İkinci aşama yükü (smalmload.jar)

SHA256

407abddf78d0b802dd0b8e733aee3eb2a51f7ae116ae9428d554313f12108a4c

bd6ec04d41a5da66d23533e586c939eece483e9b105bd378053e6073df50ba99

Çekirdek

Eklentiler

850’den fazla üçüncü taraf uygulamaya hızla yama uygulamak için Patch Manager Plus’ı kullanarak kendinizi güvenlik açıklarından koruyun. Avantajlardan yararlanın ücretsiz deneme % 100 güvenlik sağlamak için.