Una ricerca ESET ha scoperto una nuova campagna di cyber spionaggio molto probabilmente afferente al gruppo APT Patchwork che ha sfruttato Google Play e app store di terze parti per distribuire un totale di 12 app malevoli contenenti il codice malware del RAT VajraSpy in bundle.
VajraSpy
VajraSpy è un trojan Android personalizzabile solitamente mascherato da applicazione di messaggistica, utilizzato per esfiltrare i dati degli utenti ed ha una gamma di funzionalità di spionaggio: Ruba contatti, file, registri delle chiamate e messaggi SMS, estrae messaggi WhatsApp e Signal, registra telefonate e scatta foto con la fotocamera.
Le 12 applicazioni Android
Il ricercatore ESET Lukas Stefanko ha trovato 12 applicazioni Android dannose contenenti lo stesso codice RAT di VajraSpy, sei delle quali sono state caricate su Google Play, contando circa 1.400 installazioni:
- Rafaqat رفاقت
- Privee Talk
- MeetMe
- Let’s Chat
- Quick Chat
- Chit Chat
Le altre sei sono state trovate su app store di terze parti:
- Hello Chat
- YohooTalk
- TikTalk
- Nidus
- GlowChat
- Wave Chat
L’attribuzione Patchwork
L’analisi ESET ha rilevato che queste app condividono tutte lo stesso codice dannoso appartenente alla stessa famiglia di malware VajraSpy, scoperta per la prima volta da QiAnXin nel 2022 (che l’ha attribuita ad APT-Q-43), da Meta nel marzo 2023 e Qihoo 360 nel novembre 2023 (che l’ha attribuita ad APT-C-52), collegandola però al gruppo APT Patchwork.
Attenzione alle truffe romantiche
“Per attirare le vittime, gli autori delle minacce probabilmente hanno utilizzato truffe romantiche mirate, inizialmente contattando le vittime su un’altra piattaforma e poi convincendole a passare a un’applicazione di chat infettata da trojan.“, commenta Lukas Stefanko, pertanto consiglia in generale di prestare attenzione agli attacchi di ingneria sociale, un’arma sempre potente nelle mani dei criminali informatici.
