Google розповів про вірус, що викрадав дані та робив знімки на камеру. Жертви – користувачі Android та iOS

Google попереджає про нове складне шпигунське програмне забезпечення, вірус Hermit. Завдяки йому зловмисники крали конфіденційні дані користувачів Android та iOS в Італії та Казахстані. Про це пише Engadget.

Що трапилось 

У четвер компанія Threat Analysis Group (TAG) поділилася висновками щодо RCS Labs – комерційного постачальника шпигунського програмного забезпечення з Італії.

16 июня експерти з безпеки Lookout связали фирму зі шпионскою программою Hermit. Це програма-шпигун, яку вперше розгорнула в 2019 році італійська влада в рамках антикорупційної операції. Водночас RCS Labs стверджує, що співпрацює лише з державними установами та рекламує свій продукт як «законне стеження».

Як працює Hermit

За даними Google, Hermit може заразити як пристрої Android, так і iOS. У деяких випадках дослідники компанії спостерігали, як зловмисники працюють із цільовим постачальником інтернет-послуг, щоб відключити їхнє підключення до передачі даних. 

Потім вони надсилали цілі SMS-повідомлення із пропозицією завантажити програмне забезпечення, щоб відновити з’єднання з інтернетом. Якщо це не виходило, шпигунське програмне забезпечення намагалися замаскувати під WhatsApp або Instagram.

Особливо небезпечним у Hermit є те, що він може отримати додаткові можливості, завантажуючи модулі з сервера командування та керування. Деякі з додатків, які спостерігав Lookout, дозволяли програмі викрадати дані з календаря та адресної книги цілі, а також робити знімки за допомогою камери їхнього телефону.

Один модуль навіть дав шпигунському програмному забезпеченню можливість отримати root-права на пристрій Android. Це спеціальний аккаунт, власник якого має право на вчинення будь-яких операцій.

Чи був Hermit в Play Store та App Store

Google вважає, що Hermit ніколи не потрапляв у магазини Play Store та App Store. Однак компанія знайшла докази того, що зловмисники змогли поширювати шпигунське ПЗ на iOS, зареєструвавшись у програмі Apple для розробників Enterprise.

Apple повідомила The Verge, що з тих пір заблокувала всі облікові записи або сертифікати, пов’язані із загрозою. Тим часом Google сповістила постраждалих користувачів і випустила оновлення для Google Play Protect.