Το RedHook malware μετατρέπει το smartphone σας σε ακούσιο συνεργό

Καθώς τα smartphones έχουν γίνει το κεντρικό κομβικό σημείο της σύγχρονης ψηφιακής μας ζωής, οι εγκληματίες του κυβερνοχώρου εξελίσσουν συνεχώς τις μεθόδους τους για να παραβιάσουν τις άμυνές τους και να αποκτήσουν πρόσβαση στα πιο ευαίσθητα δεδομένα μας. Μια απειλή που αναλύθηκε πρόσφατα έχει προκαλέσει σοκ στην κοινότητα της κυβερνοασφάλειας, αναδεικνύοντας ένα τρομακτικό άλμα στην πολυπλοκότητα του κακόβουλου λογισμικού για κινητά. Αυτό το νέο Remote Access Trojan που σχεδιάστηκε για λειτουργικά συστήματα Android και ονομάζεται RedHook, δεν κλέβει απλώς τοπικά δεδομένα. Ουσιαστικά αναλαμβάνει τον πλήρη, αυτόνομο έλεγχο της μολυσμένης συσκευής χωρίς ο χρήστης να υποψιαστεί το παραμικρό. Ερευνητές κυβερνοασφάλειας της Group-IB ανέλυσαν προσεκτικά αυτό το ψηφιακό παράσιτο, αποκαλύπτοντας μια αρχιτεκτονική επίθεσης που στρέφει τα εργαλεία ανάπτυξης ενός smartphone εναντίον του για να επιτύχει πρωτοφανή κυριαρχία πάνω στο υλικό.

Η διαδικασία μόλυνσης του RedHook βασίζεται σε μεγάλο βαθμό στην παραδοσιακή κοινωνική μηχανική και όχι στην εκμετάλλευση εξαιρετικά πολύπλοκων, άγνωστων ευπαθειών λογισμικού. Τα θύματα συνήθως προσεγγίζονται μέσω ανεπιθύμητων τηλεφωνικών κλήσεων ή άμεσων μηνυμάτων μέσω πλατφορμών όπως το Viber ή μέσω τυπικών SMS. Οι επιτιθέμενοι μεταμφιέζονται σε αξιόπιστους φορείς, όπως εκπρόσωποι τραπεζών, κυβερνητικοί αξιωματούχοι ή πάροχοι υπηρεσιών κοινής ωφέλειας. Χρησιμοποιώντας τακτικές υψηλής πίεσης και δημιουργώντας μια ψευδή αίσθηση επείγοντος, κατευθύνουν το θύμα σε δόλιες ιστοσελίδες που έχουν σχεδιαστεί για να μιμούνται τέλεια νόμιμες πύλες ή το επίσημο Google Play Store. Εκεί, ο χρήστης καλείται να κατεβάσει και να εγκαταστήσει αυτό που φαίνεται να είναι ένα ακίνδυνο αρχείο APK. Αυτή η φαινομενικά συνηθισμένη ενέργεια είναι ακριβώς η στιγμή που η παγίδα κλείνει.

Μετά την επιτυχή εγκατάσταση, το RedHook ξεκινά αμέσως την εκστρατεία του για να αποκτήσει βαθύτερη πρόσβαση στο σύστημα, εστιάζοντας αρχικά στην εξασφάλιση δικαιωμάτων Accessibility Service. Το κακόβουλο λογισμικό παρουσιάζει στον χρήστη παραπλανητικές οθόνες, ισχυριζόμενο ψευδώς ότι η παραχώρηση αυτών των δικαιωμάτων είναι απολύτως απαραίτητη για τη σωστή λειτουργία της εφαρμογής. Το Accessibility Service έχει σχεδιαστεί πραγματικά για να βοηθά τους χρήστες με αναπηρίες να αλληλεπιδρούν με τις συσκευές τους, αλλά στα χέρια αυτού του κακόβουλου λογισμικού, μετατρέπεται σε καταστροφικό όπλο. Μόλις εγκριθεί, το RedHook μπορεί να διαβάζει συνεχώς τα περιεχόμενα της οθόνης και να προσομοιώνει εισαγωγές αφής, δίνοντας ουσιαστικά στον επιτιθέμενο ένα εικονικό, αόρατο δάχτυλο στην οθόνη.

Η πιο ανησυχητική τεχνολογική πρόοδος του RedHook έγκειται στην ευφυέστατη κατάχρηση της λειτουργίας ADB Wireless Debugging. Το Android Debug Bridge είναι ένα νόμιμο εργαλείο διαχείρισης που χρησιμοποιείται από προγραμματιστές για την απευθείας επικοινωνία με μια συσκευή. Παραδοσιακά, αυτό απαιτούσε φυσική σύνδεση USB με έναν υπολογιστή. Ωστόσο, η εισαγωγή της λειτουργίας ασύρματου εντοπισμού σφαλμάτων επέτρεψε αυτή την επικοινωνία να πραγματοποιείται μέσω τοπικού δικτύου. Το RedHook λειτουργεί ως δικός του αυτόνομος πελάτης συνδεόμενος στην τοπική διεύθυνση loopback, παρακάμπτοντας πλήρως την ανάγκη για οποιονδήποτε εξωτερικό υπολογιστή.

Χρησιμοποιώντας τα δικαιώματα προσβασιμότητας που απέκτησε προηγουμένως, το κακόβουλο λογισμικό πλοηγείται στις ρυθμίσεις του Android εξ ολοκλήρου μόνο του. Μιμείται ταχύτατα τα πατήματα του χρήστη για να πατήσει τον αριθμό κατασκευής επτά φορές, ξεκλειδώνοντας αθόρυβα τα κρυφά Developer Options. Στη συνέχεια, ενεργοποιεί τη λειτουργία ασύρματου εντοπισμού σφαλμάτων, διαβάζει τον απαραίτητο κωδικό σύζευξης που εμφανίζεται στην οθόνη και πιστοποιεί τον εαυτό του. Ολοκληρώνοντας αυτήν την αυτοματοποιημένη ακολουθία, το RedHook αναβαθμίζει τα προνόμιά του σε επίπεδο shell, παρακάμπτοντας τα τυπικά sandboxes εφαρμογών που επιβάλλει το λειτουργικό σύστημα. Με αυτήν την αυξημένη πρόσβαση, το κακόβουλο λογισμικό μπορεί να εγκαταστήσει αθόρυβα πρόσθετα κακόβουλα πακέτα, να αφαιρέσει εφαρμογές ασφαλείας όπως λογισμικό προστασίας από ιούς και να παραχωρήσει στον εαυτό του επεμβατικά δικαιώματα πρόσβασης στην κάμερα, το μικρόφωνο και τα ακριβή δεδομένα τοποθεσίας χωρίς να ενεργοποιήσει ούτε μία ειδοποίηση.

Για να εξασφαλίσει την επιβίωσή του στην παραβιασμένη συσκευή, το RedHook χρησιμοποιεί έναν εξαιρετικά ανθεκτικό μηχανισμό επιμονής. Χρησιμοποιεί μια αρχιτεκτονική two-service cross-process resurrection, πράγμα που σημαίνει ότι εκτελεί ταυτόχρονα δύο ξεχωριστές υπηρεσίες στο παρασκήνιο. Εάν ο χρήστης ή το λειτουργικό σύστημα προσπαθήσει να τερματίσει τη μία διαδικασία για να εξοικονομήσει μνήμη ή να σταματήσει ύποπτη δραστηριότητα, η άλλη ανιχνεύει αμέσως τον τερματισμό και την επανεκκινεί. Επιπλέον, το κακόβουλο λογισμικό καταχωρεί έναν broadcast receiver που περιμένει να ολοκληρωθεί η εκκίνηση της συσκευής. Αυτό εγγυάται ότι το RedHook φορτώνεται αυτόματα στη μνήμη του συστήματος τη στιγμή που το smartphone ενεργοποιείται, πολύ πριν ο χρήστης μπορέσει καν να ξεκλειδώσει την οθόνη.

Μόλις εδραιωθεί σταθερά, το κακόβουλο λογισμικό δημιουργεί συνεχή σύνδεση με τους command and control διακομιστές του. Η τελευταία έκδοση του RedHook διαθέτει ένα τεράστιο οπλοστάσιο πενήντα τριών διαφορετικών εντολών τηλεχειρισμού, μια σημαντική αύξηση από τις προηγούμενες εκδόσεις. Αυτές οι εντολές επιτρέπουν στους επιτιθέμενους να συλλέγουν ευαίσθητα διαπιστευτήρια μέσω keylogging, να μεταδίδουν την οθόνη της συσκευής σε πραγματικό χρόνο και να υποκλέπτουν εισερχόμενα μηνύματα κειμένου. Αυτή η τελευταία δυνατότητα είναι ιδιαίτερα επικίνδυνη, καθώς εξουδετερώνει πλήρως την προστασία που προσφέρει το two-factor authentication συλλαμβάνοντας κωδικούς πρόσβασης μίας χρήσης απευθείας από τραπεζικά ιδρύματα, οδηγώντας σε άμεση οικονομική απάτη.

Αυτό που κάνει το RedHook ιδιαίτερα αποτελεσματικό είναι η τεράστια προσαρμοστικότητά του. Επειδή διαφορετικοί κατασκευαστές smartphone χρησιμοποιούν σε μεγάλο βαθμό προσαρμοσμένες διεπαφές χρήστη, η πλοήγηση στα μενού ρυθμίσεων μπορεί να διαφέρει δραστικά από τη μία συσκευή στην άλλη. Οι προγραμματιστές πίσω από αυτό το κακόβουλο λογισμικό έχουν λάβει υπόψη αυτόν τον κατακερματισμό ενσωματώνοντας συγκεκριμένα σενάρια προσαρμοσμένα για δημοφιλείς μάρκες, συμπεριλαμβανομένων των Samsung, Xiaomi, Google, Oppo, Vivo και Meizu. Αυτές οι προσαρμοσμένες ρουτίνες διασφαλίζουν ότι η αυτοματοποιημένη διαδικασία πλοήγησης σε μενού και χορήγησης δικαιωμάτων εκτελείται άψογα, ανεξάρτητα από τη συσκευή που τυχαίνει να κατέχει το θύμα. Το αποτέλεσμα είναι μια εξαιρετικά εξελιγμένη, αυτοσυντηρούμενη απειλή που αφήνει τα θύματα εξ ολοκλήρου στο έλεος των επιτιθέμενων.