Hackers de Hamás plantan en secreto software espía en Egipto y Palestina

Se observó que el grupo Arid Viper, afiliado a Hamás, utilizaba el software espía de Android AridSpy ya en 2022. Ahora, por primera vez, los investigadores han presentado un análisis completo de las fases posteriores del malware, hasta ahora misteriosas.

Según investigadores de ESET, que publicaron recientemente un nuevo informe sobre las campañas de AridSpy, resulta que AridSpy se distribuye a través de aplicaciones de mensajería infectadas con troyanos.

«Lo nuevo en estas campañas fue que AridSpy se transformó en un troyano de múltiples etapas, con la aplicación original infectada por el troyano descargando cargas útiles adicionales desde el servidor de comando y control», dice el informe.

Según el informe, los investigadores analizaron cinco ataques AridSpy separados dirigidos a usuarios de Android en Egipto y Palestina. AridSpy suele ocultarse en aplicaciones con funciones legítimas, lo que dificulta la detección. En este caso, las víctimas en Palestina fueron atacadas con anuncios de una aplicación maliciosa que se hacía pasar por un registro civil palestino, dijo ESET. La primera fase fue en Egipto. software espía estaba oculto en una app llamada LapizaChat y en anuncios de empleo fraudulentos. Las aplicaciones no se pueden descargar desde Google Play, sino desde sitios web de terceros controlados por los actores de amenazas.

Según el análisis, una vez que comienza la filtración de datos en la segunda fase, el grupo de amenazas puede recopilar una gran cantidad de datos, incluida la ubicación del dispositivo, la lista de contactos, registros de llamadas, mensajes de texto, miniaturas de fotos, datos del portapapeles, notificaciones y miniaturas de grabaciones de vídeo. . Además, los ciberdelincuentes tienen la capacidad de grabar audio, capturar imágenes y más.

Un análisis anterior encontró que AridSpy se utilizó en 2022 para El objetivo es la Copa Mundial de la FIFA en Qatarentre otras campañas en Medio Oriente, la informe dicho.

ESET advierte que al menos tres campañas de espionaje de AridSpy todavía se están ejecutando en sitios web dedicados.

“Al momento de esta publicación, tres de las cinco campañas descubiertas aún estaban activas. Las campañas utilizaron sitios web dedicados para distribuir aplicaciones maliciosas que se hacían pasar por NortirChat, LapizaChat y ReblyChat,… ofertas de trabajo… y aplicaciones de registro civil palestino”, dice el informe.

Es probable que Arid Viper también mantenga y mejore el código AridSpy con el tiempo.

«Por supuesto, la carga útil de la segunda etapa contiene las últimas actualizaciones y cambios en el código malicioso, que pueden transmitirse a otras campañas en curso», señalaron los investigadores. «Esta información indica que AridSpy está en mantenimiento y puede recibir actualizaciones o cambios de funciones».