Les opérateurs derrière BRATA ont une fois de plus ajouté plus de fonctionnalités au malware mobile Android dans le but de rendre leurs attaques contre les applications financières plus furtives.
« En fait, le modus operandi s’inscrit désormais dans un modèle d’activité de menace persistante avancée (APT) », a déclaré la société italienne de cybersécurité Cleafy. a dit dans un rapport la semaine dernière. « Ce terme est utilisé pour décrire une campagne d’attaque dans laquelle les criminels établissent une présence à long terme sur un réseau ciblé pour voler des informations sensibles. »
Acronyme de « Brazilian Remote Access Tool Android », BRATA a été détecté pour la première fois dans la nature au Brésil fin 2018, avant de faire sa première apparition en Europe en avril dernier, tout en se faisant passer pour un logiciel antivirus et d’autres outils de productivité courants pour inciter les utilisateurs à les télécharger. .
Le changement dans le modèle d’attaque, qui a atteint de nouveaux sommets début avril 2022, implique d’adapter le logiciel malveillant pour frapper une institution financière spécifique à la fois, en ne passant à une autre banque qu’après que la victime a commencé à mettre en œuvre des contre-mesures contre la menace.
De nouvelles fonctionnalités sont également intégrées dans les applications malveillantes qui lui permettent d’usurper l’identité de la page de connexion de l’institution financière pour collecter les informations d’identification, accéder aux messages SMS et charger une charge utile de deuxième étape (« unrar.jar ») à partir d’un serveur distant pour enregistrer les événements. sur l’appareil compromis.
« La combinaison de la page de phishing avec la possibilité de recevoir et de lire les sms de la victime pourrait être utilisée pour effectuer une attaque complète de prise de contrôle de compte (ATO) », ont déclaré les chercheurs.
De plus, Cleafy a déclaré avoir trouvé un exemple de package d’application Android distinct (« SMSAppSicura.apk ») qui utilisait la même infrastructure de commande et de contrôle (C2) que BRATA pour siphonner les messages SMS, indiquant que les acteurs de la menace testent différentes méthodes pour étendre leur portée.
L’application de vol de SMS ciblerait spécifiquement les utilisateurs au Royaume-Uni, en Italie et en Espagne, son objectif étant de pouvoir intercepter et exfiltrer tous les messages entrants liés aux mots de passe à usage unique envoyés par les banques.
« Les premières campagnes de logiciels malveillants ont été diffusées via de faux antivirus ou d’autres applications courantes, tandis que pendant les campagnes, le logiciel malveillant prend la tournure d’une attaque APT contre le client d’une banque italienne spécifique », ont déclaré les chercheurs.
« Ils se concentrent généralement sur la livraison d’applications malveillantes ciblées sur une banque spécifique pendant quelques mois, puis sur une autre cible. »
