La società di sicurezza Kaspersky Lab ha pubblicato un nuovo rapporto che ci presenta il fino ad ora sconosciuto Remote Control System (RCS), trojan che agisce sia su Android e iOS. Il report inoltre traccia la sua massiccia rete di controllo e di comando a livello internazionale.
I trojan sono parte dello strumento spyware “legale” RCS, noto anche come Galileo, sviluppato dalla società italiana HackingTeam. I ricercatori di Kaspersky sono stati in grado di mappare la presenza di più di 320 server di comando e controllo RCS in oltre 40 paesi. La maggior parte dei server sono stati trovati negli Stati Uniti, in Kazakhstan, in Ecuador, nel Regno Unito e nel Canada.
Si è speculato da diverso tempo circa l’esistenza di trojan targati HackingTeam per dispositivi mobili iOS e Android. Fino ad ora però nessuno aveva effettivamente individuato o notato il loro uso negli attacchi. L’elenco delle vittime identificate da Kaspersky include attivisti e difensori dei diritti umani, così come giornalisti e politici.
Il malware si diffonde con lo spear phishing tramite social engineering – spesso accoppiato con exploit, compresi quelli da giorno zero – e infezioni locali tramite cavi USB usati nella sincronizzazione dei dispositivi mobili. I moduli RCS sono sofisticati e progettati per lavorare in modo discreto. Usano metodi di spionaggio attentamente personalizzati, o trigger speciali. Ad esempio, una registrazione audio può iniziare solo quando la vittima è connessa a una particolare rete Wi-Fi, o quando la persona cambia la scheda SIM, o quando il dispositivo sta ricaricando la batteria.
Il malware viene consegnata con spear phishing tramite social engineering – spesso accoppiato con exploit, compreso lo zero giorni – e le infezioni locali tramite cavi USB sincronizzando i dispositivi mobili. I moduli RCS sono sofisticati e progettato per lavorare in modo discreto. Usano capacità di spionaggio attentamente personalizzati, o trigger speciali. Ad esempio, una registrazione audio può iniziare solo quando la vittima è connesso a una particolare rete Wi-Fi, o quando la persona cambia la scheda SIM, o quando il dispositivo è ricaricare la batteria.
I trojan mobili RCS sono in grado di eseguire una varietà di funzioni di sorveglianza, tra le quali il riferire la posizione del bersaglio, scattare foto, copiare gli eventi dal calendario del dispositivo e la registrazione di nuove schede SIM inserite nel dispositivo infetto. Possono anche intercettare telefonate e messaggi SMS, inclusi i messaggi di chat inviati da applicazioni specifiche come Viber, WhatsApp e Skype.
Un iPhone per essere infettato da RCS deve essere jailbroken, ma Kaspersky avverte che anche gli iPhone non jailbroken possono essere colpiti. Un utente malintenzionato può eseguire uno strumento di jailbreaking come ‘Evasi0n’ attraverso computer precedentemente infettati e condurre un jailbreak remoto, seguito dall’infezione vera e propria.
Sergey Golovanov, principale ricercatore della sicurezza dei Kaspersky Lab dice: “La presenza di questi server in un determinato paese non vuol dire che sono utilizzati dalle forze di polizia di quel particolare paese. Tuttavia, ha senso per gli utenti di RCS usare C & C in località che controllano – dove i rischi di questioni giuridiche transfrontaliere o sequestri di server sono minimi”.
Potete sapere di più sulla minaccia e su come è stata scoperta sul blog Kaspersky SecureList.
