Kradnie dane z telefonów z Androidem, ale tym razem to dobrze

Odkryto nowe złośliwe oprogramowanie na Androida, ukryte w zmodyfikowanych wersjach aplikacji mapowej Alpine Quest. Jak donoszą źródła, ta aplikacja jest wykorzystywana między innymi przez rosyjskich żołnierzy do planowania operacji w strefie działań wojennych.

Groźny malware atakuje

Atakujący rozpowszechniają zainfekowaną aplikację jako darmową, "zhakowaną" wersję premium Alpine Quest Pro, wykorzystując do tego kanały na Telegramie oraz rosyjskie katalogi aplikacji.

Sama aplikacja AlpineQuest jest legalnym narzędziem GPS i map topograficznych na Androida, cenionym przez podróżników, sportowców, zespoły poszukiwawczo-ratownicze oraz personel wojskowy za jej funkcjonalność offline i precyzję. Aplikacja występuje w dwóch wersjach: darmowej Lite z ograniczonymi funkcjami oraz płatnej Pro, która nie zawiera bibliotek śledzących, analityki i reklam.

Oprogramowanie szpiegujące, odkryte przez badaczy z rosyjskiej firmy antywirusowej Doctor Web, ukrywa się w pełni funkcjonalnej aplikacji Alpine Quest, co zmniejsza podejrzenia i stwarza możliwość kradzieży danych.

Po uruchomieniu malware próbuje wykraść dane komunikacyjne i poufne dokumenty z urządzenia, potencjalnie ujawniając szczegóły operacji wojskowych. Konkretnie, oprogramowanie szpiegujące wykonuje następujące działania:

• Wysyła numer telefonu użytkownika, kontakty, geolokalizację, informacje o plikach i wersję aplikacji do atakujących.
• Monitoruje zmiany lokalizacji w czasie rzeczywistym i wysyła aktualizacje do bota na Telegramie.
• Pobiera dodatkowe moduły w celu kradzieży poufnych plików, zwłaszcza tych wysyłanych za pośrednictwem Telegrama i WhatsAppa.
• Wyszukuje plik "locLog" z Alpine Quest, który zawiera historię lokalizacji.

Doctor Web określa szkodliwe oprogramowanie jako "Android.Spy.1292.origin". Na ten moment nie wiadomo, jakie jest jego pochodzenie. 

Co ciekawe, taktyka celowania w żołnierzy była wcześniej kojarzona z rosyjskimi operacjami hakerskimi, często powiązanymi z grupami sponsorowanymi przez państwo, zbierającymi informacje dla rosyjskiej armii. Odkrycie zainfekowanej aplikacji AlpineQuest pokazuje, że tego typu ataki są kierowane z obu stron konfliktu.