Google telah memperingatkan tentang spyware tingkat perusahaan yang menargetkan pengguna perangkat seluler Android dan iOS.
berdasarkan Tim Analisis Ancaman Google (TAG) peneliti Benoit Sevens dan Clement Lecigne, dan Proyek Nolvarian unik dari spyware iOS dan Android tingkat pemerintah dan perusahaan kini beredar aktif.
Korban berada di Italia dan Kazakhstan.
Spyware, yang disebut Hermit, adalah perangkat lunak pemantauan modular. Setelah menganalisis 16 dari 25 modul yang diketahui, peneliti keamanan siber Lookout mengatakan malware akan berusaha untuk memperoleh perangkat dan memiliki kemampuan berikut: merekam, mengalihkan atau melakukan panggilan, mencuri pesan teks, log panggilan, daftar kontak, foto, dll., dan mencuri data lokasi GPS.
Analisis Lookout, diterbitkan 16 Juni, menunjukkan bahwa spyware dikirim melalui pesan teks berbahaya. TAG menyimpulkan dengan cara yang sama bahwa tautan unik yang dikirim ke target menyamar sebagai pesan yang dikirim oleh Penyedia Layanan Internet (ISP) atau aplikasi perpesanan.
“Dalam beberapa kasus, kami yakin penyerang bekerja sama dengan ISP target untuk menonaktifkan koneksi data seluler target,” kata Google. “Setelah dinonaktifkan, penyerang akan mengirim tautan berbahaya melalui pesan teks yang meminta target untuk menginstal aplikasi untuk memulihkan koneksi data mereka.”
Tim Lookout hanya memiliki akses ke Hermit versi Android, tetapi sekarang, kontribusi Google telah menambahkan sampel iOS ke penyelidikan. Tidak ada sampel yang ditemukan di repositori aplikasi resmi Google atau Apple. Sebagai gantinya, aplikasi dengan spyware diunduh dari host pihak ketiga.
Sampel Android meminta korban untuk mengunduh .APK setelah mengizinkan pemasangan aplikasi seluler dari sumber yang tidak dikenal. Malware tersebut menyamar sebagai aplikasi Samsung dan menggunakan Firebase sebagai bagian dari infrastruktur command and control (C2).
“Sementara APK itu sendiri tidak mengandung kerentanan apa pun, kode tersebut menyiratkan kerentanan yang dapat diunduh dan dieksekusi,” kata para peneliti.
Google telah memberi tahu pengguna Android yang terpengaruh oleh aplikasi dan membuat perubahan di Google Play Protect untuk melindungi pengguna dari aktivitas berbahaya oleh aplikasi. Selain itu, proyek Firebase yang terkait dengan spyware telah dinonaktifkan.
Sampel iOS yang ditandatangani dengan sertifikat yang diperoleh dari Apple Developer Enterprise Program berisi kerentanan eskalasi hak istimewa yang dapat dipicu oleh enam kerentanan.
sementara empat (CVE-2018-4344, CVE-2019-8605, CVE-2020-3837, CVE-2020-9907) diketahui, dua lainnya— CVE-2021-30883 dan CVE-2021-30983 – Diduga dieksploitasi di alam liar pada 0day sebelum Apple menambalnya pada Desember 2021. Produsen iPad dan iPhone juga mencabut sertifikat terkait kampanye Hermit.
Google dan Lookout mengatakan spyware itu dapat dikaitkan dengan RCS Lab, sebuah perusahaan Italia yang telah beroperasi sejak 1993.
RCS Labs memberi tahu TechCrunch Perusahaan “mengekspor produknya sesuai dengan aturan dan peraturan nasional dan Eropa” dan bahwa “setiap penjualan atau penerapan produk hanya dapat dilakukan dengan otorisasi resmi dari otoritas yang berwenang”.
Rilis Hermit hanya menyoroti masalah yang lebih luas: industri spyware dan pengawasan digital yang berkembang pesat.
Pekan lalu, Google bersaksi di depan komite investigasi Parlemen Eropa tentang penggunaan Pegasus dan spyware kelas komersial lainnya.
TAG saat ini melacak lebih dari 30 pemasok eksploitasi atau spyware ke entitas yang didukung pemerintah, dan menurut Charlie SnyderKepala kebijakan keamanan siber Google, meskipun penggunaannya mungkin legal, “pemerintah sering menemukan mereka digunakan untuk tujuan yang bertentangan dengan nilai-nilai demokrasi: menargetkan pembangkang, jurnalis, pekerja hak asasi manusia, dan politisi.”
“Itulah mengapa ketika Google menemukan aktivitas ini, kami tidak hanya mengambil langkah-langkah untuk melindungi pengguna, tetapi juga mengungkapkan informasi ini kepada publik untuk meningkatkan kesadaran dan membantu ekosistem,” komentar Snyder.
Laporan sebelumnya dan terkait
Apakah ada tip? Hubungi dengan aman melalui WhatsApp | +447713 025 499 atau Sinyal di Keybase: charlie0