Nowe zagrozenie FireScam podszywa si pod Telegram - Cyfirma zidentyfikowaa

W ostatnich dniach firma cyberbezpieczeństwa Cyfirma zidentyfikowała nowe niebezpieczeństwo w postaci złośliwego oprogramowania o nazwie FireScam. To program komputerowy udaje aplikację premium komunikatora Telegram, zarazem stanowiąc zaawansowane zagrożenie dla urządzeń. Jego dystrybucja odbywa się za pośrednictwem fałszywej strony internetowej hostowanej na platformie GitHub.io, maskującej się jako popularny sklep z aplikacjami RuStore z Rosji. Eksperci ds. bezpieczeństwa wskazują, że FireScam korzysta z złożonego procesu infekowania, zaczynając od instalacji tzw. 'droppera' odpowiedzialnego za przeniesienie i uruchomienie głównego komponentu złośliwego oprogramowania. Fałszywa strona rustore-apk.github[.]io śledzi kształt rosyjskiego sklepu z aplikacjami RuStore podlegającego firmie VK, udostępniając plik GetAppsRu.apk zawierający złośliwe elementy. FireScam, po zainstalowaniu, próbuje przejąć kontrolę nad urządzeniem żądając znacznych uprawnień, takich jak zapis na karcie pamięci zewnętrznej czy możliwość zarządzania aplikacjami. Co więcej, złośliwe oprogramowanie działa na urządzeniach z Androidem w wersji 8 i nowszej. System wykorzystuje mechanizm ENFORCE_UPDATE_OWNERSHIP, ograniczając możliwość aktualizacji aplikacji wyłącznie dla właściciela, co pozwala mu kontrolować ten proces. FireScam jest również znany ze swoich zaawansowanych funkcji szpiegowskich, monitorując powiadomienia, zmiany na ekranie, transakcje e-commerce i inne działania użytkownika. Ponadto oprogramowanie pobiera i analizuje obrazy z wybranych adresów URL, dodatkowo próbując uzyskać dostęp do listy kontaktów, historii połączeń i wiadomości SMS. Ciężko obszernym funkcjom należy wykorzystanie usługi Firebase Cloud Messaging (FCM) do otrzymywania poleceń zdalnych i utrzymywania dostępu do urządzenia. Program łączy się również z serwerem command-and-control (C2), pozwalający na eksfiltrację danych oraz inne działania. To ważne, że wraz z FireScam na tej samej stronie phishingowej znaleziono inny złośliwy program o nazwie CDEK, kojarzący się z rosyjską firmą kurierską. Choć nie udało się pozyskać tego artefaktu, eksperci zauważają rosnące wykorzystanie linków phishingowych. Warto podkreślić, że FireScam pokazuje, jak cyberprzestępcy sięgają po zaufanie użytkowników, podszywając się pod znane platformy. Poprzez imitację legalnych sklepów, złośliwe strony sugerują pobieranie i instalowanie fałszywych aplikacji, co rzutuje na bezpieczeństwo danych i urządzeń.