监控软件厂商勾结互联网服务提供商感染iOS和安卓用户

谷歌威胁分析团队 (TAG) 披露称，意大利监控软件厂商 RCS Labs 在某些互联网服务提供商 (ISPs) 的协助下，通过商用监控软件感染位于意大利和哈萨克斯坦的安卓和iOS 用户。

KCS Labs 仅仅是谷歌最近追踪的30多家监控软件厂商之一。谷歌指出，在使用路过时下载感染多个客户的攻击活动中，目标的互联网连接被ISP切断后，攻击者提示目标安装恶意应用才能恢复网络。

谷歌在报告中指出，“在某些情况下，我们认为攻击者和为目标服务的ISP勾结来禁用目标的移动数据连接。禁用后，攻击者将通过SMB发送恶意链接，要求目标安装应用恢复数据连接。” 如果二者不是直接协作，则攻击者将恶意应用伪装成通讯应用，通过虚构的支持页面向目标推送，声称可帮助恢复 Facebook、Instagram或WhatsApp 的吊销账户。

然而，虽然Facebook 和 Instagram 的链接可使目标安装官方应用，但WhatsApp 的链接会诱骗目标下载恶意版本的WhatsApp。

谷歌表示，部署在受害者设备上的恶意应用无法在苹果或谷歌应用商店中找到。然而，攻击者侧加载该 iOS 版本（以企业证书签名）并要求目标从不明来源启用应用安装。

攻击中出现的该iOS app包含多个内置利用，可使攻击者在受攻陷设备上提权并窃取文件。报告指出，“它包含一个通用的提权利用封装，用于六个 exploit 中。它还包含一个最低限代理，可以从设备中提取相关文件如 WhatsApp 数据库等。”

它共绑定了六个不同的exploit：

报告指出，“2021年以前使用的所有exploit都基于越狱社区编写的公开利用。在发现时我们认为CVE-2021-30883和CVE-2021-30983还是0day。“另一方面，恶意安卓app 中并未绑定利用。不过它仍然能够使用 DexClassLoader API 下载并执行其它模块。

谷歌提醒安卓受害者称，其设备遭入侵并受监控软件“Hermit”的感染。”Hermit” 是 Lookout 公司对该植入的命名。Lookout 公司指出，Hermit时“模块化监控软件”，可“录制音频并且拨打且重定向电话号码，以及收集数据如通话日志、联系人、照片、设备位置以及短信。”

谷歌还禁用了攻击者使用的 Firebase 项目，该项目被用于设立命令和控制基础设施。5月份，谷歌TAG暴露了另外一起攻击活动，国家黑客阻止利用五个0day安装由商用监控开发者 Cytrox 开发的 Predator 监控软件。谷歌当时表示，“TAG 正在积极追踪30多个厂商，它们的复杂度不一，向受政府支持的黑客组织出售利用或监控能力的公开暴露程度也各不相同。”

https://www.bleepingcomputer.com/news/security/spyware-vendor-works-with-isps-to-infect-ios-and-android-users/

题图：Pixabay License

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

    觉得不错，就点个 “在看” 或 "赞” 吧~