Predator Mobile Malware
Les acteurs de la menace soutenus par le gouvernement utilisent une menace de malware mobile suivie sous le nom de Predator, pour infecter les appareils mobiles de cibles sélectionnées. Les origines de la menace Predator ont été liées à une société de surveillance commerciale appelée Cytrox. Selon les conclusions de CitizenLab, Cytrox a d'abord été établie en tant que start-up nord-macédonienne. Depuis lors, la société a établi une présence commerciale en Israël et en Hongrie et aurait fourni des logiciels espions et des exploits zero-day à ses clients. Un rapport du TAG (Threat Analysis Group) de Google a confirmé que ces acteurs de la menace sont situés dans plusieurs pays à travers le monde, dont l'Égypte, la Grèce, l'Espagne, l'Arménie, la Côte d'Ivoire, Madagascar et l'Indonésie.
Détails sur Predator
Predator est un logiciel espion qui peut infecter les appareils iOS et Android. La menace est déployée sur les appareils via un chargeur d'étape précédente. Dans les trois campagnes d'attaque détaillées dans le rapport Google TAG, le chargeur a été identifié comme ALIEN , un implant malveillant assez simple qui peut s'injecter dans plusieurs processus privilégiés. Une fois établie, la menace peut recevoir des commandes de Predator via IPC. Certaines des commandes confirmées incluent la réalisation d'enregistrements audio, l'ajout de certificats CA et le masquage d'applications spécifiques. Sur les appareils iOS, Predator peut établir la persistance en exploitant la fonction d'automatisation iOS.
La chaîne d'infection des trois campagnes d'attaques Android analysées commence par la livraison de liens uniques aux cibles choisies par e-mail. Les liens ressemblent à ceux des services de raccourcissement d'URL. Lorsque la cible clique sur le lien fourni, elle est redirigée vers un domaine corrompu contrôlé par les attaquants. Là, les cybercriminels exploitent les vulnérabilités zéro et n jours pour compromettre l'appareil avant d'ouvrir un site Web légitime dans le navigateur Web de la victime. Si le lien initial n'est pas actif, il mènera directement à une destination légitime.
