Złośliwe aplikacje wykorzystywane do szpiegostwa zostały wykryte zarówno w Google Play Store, jak i Samsung Galaxy Store. Brazylia jest jedną z lokalizacji dotkniętych tym zagrożeniem.

Aplikacje Signal Plus Messenger i FlyGram to nieuczciwe wersje popularnych platform komunikacyjnych Signal i Telegram. Zawierają one oprogramowanie szpiegujące o nazwie BadBazaar.

Według ESET, firmy zajmującej się cyberbezpieczeństwem, która zidentyfikowała to zagrożenie, aplikacje powiązane z chińską grupą hakerską APT GREF wykorzystały otwartoźródłowy charakter platform Signal i Telegram. Przebudowali aplikacje, celowo wbudowując w nie złośliwy kod szpiegujący.

Brazylia jest na liście

Oprócz Brazylii, epidemia dotknęła również inne kraje: Danię, Demokratyczną Republikę Konga, Niemcy, Hongkong, Węgry, Litwę, Holandię, Polskę, Portugalię, Singapur, Hiszpanię, Ukrainę, Stany Zjednoczone i Jemen.

Według serwisu Bleeping Computer, aplikacja FlyGram była dostępna w sklepie Google Play od lipca 2020 roku i została usunięta w styczniu 2021 roku. W tym czasie zgromadziła około 5.000 instalacji. W chwili pisania tego tekstu aplikacja jest nadal dostępna w sklepie Samsung Galaxy Store.

W lipcu 2022 roku aplikacja Signal Plus Messenger pojawiła się w sklepach Google i Samsung. Jednak Google wycofał ją w maju. Aplikacja nadal jest dostępna do pobrania w Galaxy Store.

Jak działają złośliwe aplikacje?

Eksperci wyjaśniają, że celem tych aplikacji jest pozyskiwanie danych osobowych użytkowników. W przykładzie FlyGram okazało się, że aplikacja jest w stanie gromadzić informacje takie jak listy kontaktów, historię połączeń i dane z konta użytkownika w Telegramie.

Gdy użytkownicy aktywowali funkcję tworzenia kopii zapasowej i przywracania danych w Telegramie, zdalny serwer kontrolowany przez złośliwych atakujących był w stanie uzyskać informacje o aktywności na platformie społecznościowej.

Według szacunków ESET, około 13.953 XNUMX kont FlyGram włączyło opcję tworzenia kopii zapasowych i przywracania danych. Jednak całkowita liczba użytkowników zainfekowanej wersji Telegrama nie została ujawniona publicznie.

Z kolei złośliwa wersja Signala zbierała podobne informacje, ale jej głównym celem było szpiegowanie komunikacji prowadzonej za pośrednictwem platformy komunikacyjnej. Obejmowało to m.in. wyłuskiwanie kodów PIN używanych do zabezpieczania kont Signal.