'Eaglemsgspy' adı verilen daha önce belgelenmemiş bir Android casus yazılım keşfedildi ve Çin'deki kolluk kuvvetleri tarafından mobil cihazları izlemek için kullanıldığına inanılıyor.
Lookout'un yeni bir raporuna göre, casus yazılım Wuhan Chinasoft Token Bilgi Teknolojisi Co., Ltd. tarafından geliştirildi ve en az 2017'den beri faaliyete geçti.
Lookout, EaglemsGSPY'yi C2 sunucularına bağlı IP adresleri, alanlar, iç belgelerde doğrudan referanslar ve ayrıca kamu sözleşmeleri de dahil olmak üzere geliştiricilerine ve operatörlerine bağlayan bol kanıt sunar.
Araştırmacılar ayrıca bir iOS varyantının varlığı için ipuçları buldular. Bununla birlikte, analiz için bir örneğe henüz erişememişlerdir.
Lookout, kolluk kuvvetlerinin, kilitsiz cihazlara fiziksel erişime sahip olduklarında Eaglemsgspy casus yazılımlarını manuel olarak yüklediğine inanıyor. Bu, baskıcı ülkelerde yaygın olan tutuklamalar sırasında cihaza el koyarak elde edilebilir.
Lookout, Google Play veya herhangi bir üçüncü taraf uygulama mağazasında yükleyici APK'sını görmedi, bu nedenle casus yazılım muhtemelen sadece küçük bir operatör dairesi tarafından dağıtılıyor.
Analistler tarafından örneklenen kötü amaçlı yazılımların sonraki sürümleri, aktif gelişimin göstergesi olan Kod Kod Gizli ve Şifreleme Geliştirmeleri gösterir.
Eaglemsgspy'nin veri hırsızlığı faaliyetleri aşağıdakileri hedeflemeyi içerir:
Veriler geçici olarak gizli bir dizinde saklanır, şifrelenmiş, sıkıştırılır ve komut ve kontrol (C2) sunucularına eklenir.
Kötü amaçlı yazılımda "Kararlılık Bakım Yargı Sistemi" adlı bir Yönetici Paneli bulunmaktadır.
Panel, uzaktan operatörlerin ses kayıtlarını tetiklemek veya hedefin kişilerinin coğrafi dağıtım ve iletişim değişimini göstermek gibi gerçek zamanlı etkinlikler başlatmasına olanak tanır.
Lookout, Eaglemsgspy'nin yaratıcılarının Wuhan Chinasoft Token Bilgi Teknolojisi olduğunu ve altyapı, dahili belgeler ve OSINT araştırmalarındaki örtüşmeler yoluyla kötü amaçlı yazılımlara bağlı olduğunu söylüyor.
Örneğin, şirketin promosyon materyalleri ('tzsafe [.] Com') için kullandığı bir alan da Eaglemsgspy'nin şifreleme iplerinde görünürken, kötü amaçlı yazılımların belgeleri firmanın adına doğrudan atıfta bulunur.
Ayrıca, yönetici panelindeki test cihazı ekran görüntüleri, firmanın Wuhan'daki kayıtlı ofisinin yerinin yerine karşılık gelir.
Casus yazılım operatörleri ile ilgili olarak, Lookout, C2 sunucularının Yantai Kamu Güvenliği Bürosu ve Zhifu şubesi de dahil olmak üzere kamu güvenlik bürolarının alanlarına bağlı olduğunu iddia ediyor.
Tarihsel IP kayıtları ayrıca Dengfeng ve Guiyang'da bürolar tarafından kullanılan alanlarla örtüşüyor.
Son olarak, yönetici panelinin adı, kolluk kuvvetleri veya diğer devlet kurumları tarafından sistematik olarak kullanıldığını göstermektedir.
Rus siber yeni casus yazılımlarla Android kullanıcılarını hedeflemek
Rus FSB tarafından ele geçirilen telefonda yeni android casus yazılım
Google Play'de Spyloan Android Kötü Yazılım 8 milyon kez yüklendi
Yeni Google Pixel AI özelliği dolandırıcılık için telefon görüşmelerini analiz ediyor
Android kötü amaçlı yazılım "sahtekarlık" şimdi banka çağrılarını saldırganlara yönlendiriyor
Kaynak: Bleeping Computer