關(guān)鍵詞

間諜軟件

ESET 研究人員發(fā)現(xiàn)了一起針對巴基斯坦用戶的安卓間諜軟件攻擊活動，該活動以網(wǎng)戀詐騙為誘餌。攻擊者通過一款偽裝成聊天工具的惡意應(yīng)用實(shí)施攻擊，這款應(yīng)用會將對話流量轉(zhuǎn)接到 WhatsApp，而在浪漫偽裝的背后，其核心目的是竊取受感染設(shè)備中的數(shù)據(jù)。ESET 將該惡意軟件命名為GhostChat。

該威脅團(tuán)伙似乎正在開展范圍更廣的監(jiān)控行動，包括通過ClickFix 攻擊攻陷受害者電腦，以及通過WhatsApp 設(shè)備鏈接攻擊獲取受害者的 WhatsApp 賬戶訪問權(quán)限。

這些關(guān)聯(lián)攻擊活動均以仿冒巴基斯坦政府機(jī)構(gòu)的網(wǎng)站為誘餌，受害者需從非官方渠道手動下載并安裝 GhostChat。該應(yīng)用從未在 Google Play 上架，且默認(rèn)啟用的 Google Play Protect 會對其進(jìn)行攔截。

ESET 研究員盧卡斯?斯特凡科表示：“此次攻擊采用了一種我們在同類騙局中前所未見的欺騙手段 ——GhostChat 中的虛假女性資料會顯示為‘鎖定’狀態(tài)，需要輸入密碼才能查看。但實(shí)際上，這些密碼是硬編碼在應(yīng)用中的，這只是一種社會工程學(xué)策略，目的是讓潛在受害者產(chǎn)生‘獲得專屬訪問權(quán)限’的錯(cuò)覺?！?/p>

這款惡意應(yīng)用盜用了一款正規(guī)約會軟件的圖標(biāo)，卻不具備任何相應(yīng)功能，僅作為移動設(shè)備上的誘捕工具和監(jiān)控程序。受害者登錄后，會看到 14 個(gè)女性資料列表，每個(gè)資料都關(guān)聯(lián)一個(gè)帶有巴基斯坦國家代碼的 WhatsApp 號碼。使用本地號碼能讓資料看起來更像是巴基斯坦本地人，從而增加騙局的可信度。當(dāng)用戶輸入所謂的解鎖碼后，應(yīng)用會將其重定向至 WhatsApp，與該號碼開始聊天，而這些號碼實(shí)際上由威脅團(tuán)伙控制。

在受害者使用該應(yīng)用的過程中，甚至在登錄之前，GhostChat 間諜軟件就已在后臺運(yùn)行。它會監(jiān)控設(shè)備活動，并將敏感數(shù)據(jù)發(fā)送至命令與控制（C2）服務(wù)器。GhostChat 還支持持續(xù)監(jiān)控：它會設(shè)置內(nèi)容觀察者跟蹤新生成的圖片，并在圖片出現(xiàn)時(shí)立即上傳；同時(shí)，它會運(yùn)行一個(gè)定時(shí)任務(wù)，每五分鐘檢查一次新文檔，以實(shí)現(xiàn)對數(shù)據(jù)的持續(xù)收集。

此次攻擊活動與一個(gè)更龐大的基礎(chǔ)設(shè)施相關(guān)聯(lián)，該基礎(chǔ)設(shè)施還支持基于 ClickFix 的惡意軟件投放和 WhatsApp 賬戶攻陷。這些攻擊均依賴仿冒網(wǎng)站、冒充政府機(jī)構(gòu)，以及基于二維碼的設(shè)備鏈接方案，同時(shí)針對桌面端和移動端用戶。ClickFix是一種社會工程學(xué)攻擊手段，它通過看似合法的指示，誘使受害者手動執(zhí)行惡意代碼。

除了利用 ClickFix 的桌面端攻擊，該基礎(chǔ)設(shè)施還支持針對 WhatsApp 用戶的移動端專項(xiàng)攻擊。受害者被誘導(dǎo)加入一個(gè)聲稱與巴基斯坦國防部相關(guān)的虛假社群頻道，并被要求掃描二維碼，將其安卓或蘋果設(shè)備鏈接至 WhatsApp 網(wǎng)頁版或桌面端。這種名為GhostPairing的攻擊方式，能讓攻擊者獲取受害者的聊天記錄和聯(lián)系人信息，獲得與合法用戶完全相同的賬戶可見性和控制權(quán)，從而暴露所有私人通信內(nèi)容。

安全圈

網(wǎng)羅圈內(nèi)熱點(diǎn) 專注網(wǎng)絡(luò)安全

實(shí)時(shí)資訊一手掌握！

好看你就分享 有用就點(diǎn)個(gè)贊

支持「安全圈」就點(diǎn)個(gè)三連吧！