谷歌發現了一個潛伏了三年的Android間諜程序
近期，Google 和 Lookout 的安全研究專家發現了一款非常復雜的 Android 間諜軟件，它不僅可以從手機的聊天軟件中竊取用戶的隱私數據，還可以通過手機的攝像頭和麥克風來監視用戶的一舉一動。更重要的是，它還可以進行自毀操作，而正是由于這款間諜軟件擁有非常智能的自毀機制，因此它在三年之后的今天才被研究人員發現。
這款間諜軟件名叫 Chrysaor，攻擊者此前曾使用這款 Android 間諜軟件攻擊以色列、格魯吉亞、土耳其和墨西哥等國的活躍分子以及新聞記者。據稱，這個間諜軟件很可能是由以色列間諜公司 NSO Group 集團制作的，也就是去年利用 iOS 惡意軟件 Pegasus 來攻擊阿聯酋人權活動家的那家公司。
外界廣泛認為，NSO Group 可以制作出地球上最先進的移動端間諜軟件，而且他們會將這些產品出售給他國政府、執法機構以及獨裁政權。
Chrysaor 分析
這款名叫 Chrysaor 的 Android 間諜軟件具備以下幾種功能：
1. 從目前熱門的 App 中竊取數據，受影響的應用包括 Gmail、WhatsApp、Skype、非死book、推ter、Viber 以及 Kakao 等。
2. 通過 SMS 短信來遠程控制目標設備。
3. 在后臺記錄實時視頻和語音信息。
4. 鍵盤記錄和屏幕截圖。
5. 禁用系統的自動更新以防止設備漏洞被修復。
6. 通過自毀機制來躲避檢測。
Google 的安全研究人員表示，他們已經通過 VerifyApps 確定了這一惡意軟件的影響范圍，并且相關人員也與很多潛在的感染用戶取得了聯系，及時清除了受感染設備上的惡意軟件，并通過修改 VerifyApps 的響應機制來保護用戶的安全。
這種威脅之所以難以檢測到，是因為當它發現任何有可能威脅到自身的檢測行為時，它可以將自己從目標設備中刪除。Lookout 的安全研究專家 Michael Flossman 是這樣形容Chrysaor 的：“如果 Chrysaor 感覺自己可能會被發現，那么它便會立刻將自己刪除。”例如出現下面這幾種情況時，Pegasus 將會進行自毀操作：
1. SIM MCC ID 無效；
2. 設備中存在與安全產品有關的文件；
3. 持續六十天無法與后臺服務器連接；
4. 接收到服務器發送過來的自毀命令；
Lookout 的研究人員認為，Chrysaor APK 可以通過基于 SMS 的釣魚信息來進行傳播，就像 Pegasus 感染 iOS 設備一樣。Chrysaor 利用的是一個名叫 Framaroot 的著名 Android 漏洞，并利用這個漏洞來 root 目標設備并獲取設備的完整控制權。更重要的是，在此期間 NSOGroup 很可能還發現了很多新的 Android0 day 漏洞，并將相應的漏洞利用代碼更新到了新版本的 Chrysaor 間諜軟件之中。
感染情況
Google 的研究人員發現，受到這款惡意軟件影響的用戶大部分都位于以色列境內，還有一些受害者也分布在格魯吉亞、墨西哥和土耳其等國家。
研究人員推測，攻擊者很可能是通過釣魚攻擊來誘使目標用戶下載惡意代碼的，當這款惡意軟件成功感染目標設備之后，它便會開啟鍵盤記錄功能，并從很多當前流行的 App 中竊取數據，例如 WhatsApp、非死book 和 Gmail 等等。
其復雜程度不言而喻
由于 Chrysaor 的種種特性，Lookout 也稱其為目前最復雜的間諜軟件。它的 iOS 變種甚至利用了三個此前未被發現的漏洞，而且還可以獲取 iOS 設備的完整控制權并對用戶進行監控。
當時，這款間諜軟件感染了一名阿聯酋人權主義者的手機，而這也是 Chrysaor 首次進入我們的視野。當時，他的手機收到了一條 SMS 文字短信，而這條短信中則包含有指向 Chrysaor 間諜軟件的惡意鏈接。
在了解到這一事實之后，蘋果公司也迅速發布了一個漏洞補丁。Lookout 在拿到 Chrysaor 的 Android 端樣本之后，便與 iOS 端樣本進行比對，比對的結果也與 Google 的研究人員進行了共享。分析結果表明，與 iOS 端版本不同的是，Chrysaor 的 Android 端版本并沒有利用任何此前未知的安全漏洞，而利用的是很多老 Android 版本中的漏洞。
結束語
目前，GooglePlay 應用商店中還沒有發現 Chrysaor 的身影，而且受感染設備數量較低這一事實也意味著大多數用戶不會遇到這個麻煩。
Lookout 已經發布了一份關于 Chrysaor 的詳細技術報告，其標題為《Pegasusfor Android: Technical Analysis and Findings of Chrysaor》，如果你還想了解更多關于 Chrysaor 的內容，請參考這篇詳細報告。【PDF 下載地址】
參考來源：thehackernews、networkworld、securityaffairs， FB 小編 Alpha_h4ck 編譯，轉載請注明來自 FreeBuf.COM
來自: www.freebuf.com