HeroRat é a mais nova ameaça de Trojan que parece usar os protocolos Telegram para estabelecer uma conexão segura com os servidores controlados por hackers. A descoberta foi feita devido ao lançamento do código-fonte público nas redes de hackers subterrâneas. É considerado uma instância muito perigosa que pode ser usada para criar outras versões descendentes.
Protocolos de telegrama usados no método de entrega do Trojan HeroRat
A comunidade de segurança relatou a descoberta do Trojan HeroRat. A análise do código revela que ele usa os protocolos do Telegram para estabelecer uma conexão segura com os servidores do hacker. Seu código foi recentemente divulgado nos mercados clandestinos de hackers, o que permitiu que especialistas o analisassem em detalhes.
Os relatórios indicam que o vírus pode ter sido usado em ataques desde agosto 2017. A análise de código mostra que ele foi escrito do zero em C# usando o popular framework Xamarin. Em comparação anteriores foram escritos em Java. No momento, seu código ainda está disponível para compra tanto em seu “baunilha” formulário ou em versões customizadas que podem ser customizadas de acordo com as necessidades dos clientes.
A campanha de ataque atual tem como alvo dispositivos no Irã - os hackers estão enviando mensagens contendo truques de engenharia social prometendo Bitcoins gratuitos, seguidores nas mídias sociais e conexão com a Internet para os usuários. No momento, os usuários do Android são segmentados. Depois que os arquivos de instalação do APK forem iniciados, eles solicitarão as seguintes permissões para serem concedidas:
- Apagar todos os dados — Apague os dados do telefone sem aviso, realizando uma redefinição de dados de fábrica.
- Alterar a senha de desbloqueio de tela - Alterar a senha de desbloqueio de tela.
- Definir regras de senha — Controle o comprimento e os caracteres permitidos nas senhas de desbloqueio de tela.
- Monitore as tentativas de desbloqueio de tela — Monitore o número de senhas incorretas digitadas. ao desbloquear a tela, e bloqueie o telefone ou apague todos os dados do telefone se muitas senhas incorretas forem digitadas.
- Bloquear a tela - Controle como e quando a tela bloqueia.
Trojan HeroRat usa protocolos de telegrama durante a execução
Depois que o Trojan HeroRat for instalado nos dispositivos Android de destino, ele exibirá uma mensagem pop-up alertando que não pode ser executado no dispositivo. Esta é uma mensagem falsa que simula uma desinstalação consequente. No entanto, ao mesmo tempo, as infecções são relatadas aos servidores controlados por hackers. As cepas capturadas podem produzir uma mensagem em inglês ou persa (Farsi).
A conexão permite que os hackers usem uma conexão segura e aproveitem a funcionalidade de bot do Telegram. Os controladores têm a capacidade de usar várias opções que executam comandos nos hosts infectados. Uma lista parcial mostra as seguintes ações:
- Nome do conjunto
- Desligar o telefone
- Reiniciar telefone
- Iniciar gravação de voz
- Parar gravação de voz
- propriedades
- SMS
- Contatos
- Volume
- Brilho
- Desinstalar aplicativo
- Enviar SMS deste
- Localização
- Aplicativos instalados
- Reproduzir voz
- Mostrar mensagem
- Explorador de arquivos
- chamadas
- Câmera
- Captura de tela
- Papel de parede
- Instalar plugin
- Informação de atualização
- Redefinir fábrica
As informações coletadas mostram que o Trojan HeroRat praticamente permite o acesso a todos os conteúdos armazenados nos dispositivos. Além disso, pode ser usado para implantar ameaças adicionais, espionar as vítimas em tempo real e assumir o controle dos dispositivos a qualquer momento. Os dados coletados podem ser usados para abuso financeiro ou roubo de identidade. Suas assinaturas estão sendo adicionadas às soluções de segurança móvel, por isso recomendamos que todos os usuários do Android usem uma solução de qualidade para se proteger de infecções.
Martin Beltov
Martin formou-se na publicação da Universidade de Sofia. Como a segurança cibernética entusiasta ele gosta de escrever sobre as ameaças mais recentes e mecanismos de invasão.
Me siga: