CapraRAT
La menace CapraRAT est un RAT Android (cheval de Troie d'accès à distance) complet conçu pour être déployé dans le cadre d'attaques de cyberespionnage. Des détails sur cette menace particulière ont été révélés dans un rapport publié par les chercheurs de Trend Micro. Leur analyse a révélé un degré significatif de croisement entre CapraRAT et une menace précédemment identifiée connue sous le nom de Crimson RAT.
Le Crimson RAT est attribué et observé dans le cadre des opérations menaçantes d'un groupe APT (Advanced Persistent Threat) suivi sous le nom de Earth Karkaddan.Le même groupe de pirates peut également être rencontré comme APT36, Operation C-Major, PROJECTM, Mythic Leopard et Transparent Tribe.
Détails techniques
CapraRAT est un autre RAT Android personnalisé qui fait désormais partie de l'arsenal menaçant du groupe. La menace repose très probablement sur des tactiques d'ingénierie sociale et des liens de phishing pour obtenir un accès initial à l'appareil de la victime. Pour décourager les utilisateurs, la charge utile corrompue est déguisée et distribuée sous la forme d'une application Youtube.
À la base, CapraRAT semble être basé sur une menace RAT open source nommée AndroRAT. En tant que tel, il est équipé de nombreuses fonctions intrusives liées à la récolte et à l'exfiltration ultérieure des données. CapraRAT peut récolter la géolocalisation de la victime, obtenir des journaux téléphoniques et extraire des informations de contact.
Historique des attaques
Le groupe APT36 a été actif dans des opérations visant des entités militaires et diplomatiques indiennesrégulièrement. Les premiers signes concrets de sa présence ont été observés en 2016, lors d'une attaque de collecte d'informations contre le personnel militaire et gouvernemental indien. En 2018, le groupe a déployé une menace de logiciel espion Android contre des militants des droits de l'homme au Pakistan dans l'intention d'intercepter les appels téléphoniques et les messages, de détourner des photos et de suivre leurs mouvements. En 2020, les pirates ont modifié leurs messages d'appât pour inclure désormais des leurres militaires ou liés au COVID-19 et les ont utilisés pour déposer une version modifiée d'un autre RAT Android connu sous le nom d' AhMyth.
