Check Point przedstawiło nowe fakty dotyczące Hummingbad – szerokiej kampanii malware na urządzenia z systemem Android.
Przez pięć miesięcy, badacze zagrożeń mobilnych z firmy Check Point posiadali niespotykaną wcześniej możliwość dostępu do wewnętrznej grupy roboczej Yingmob, czyli chińskich cyberprzestępców stojących za kampanią malware zwaną HummingBad.
Czym jest HummingBad
HummingBad jest złośliwym oprogramowaniem, które jak odkrył Check Point instaluje złośliwe aplikacje, generując przy tym wysokie przychody z równie złośliwych dla użytkownika reklam.
Co ciekawe, wg ekspertów bezpieczeństwa, Yingmob działa obok legalnie funkcjonującej w Chinach agencji analiz reklam z którą dzieli swoje zasoby i technologie. Według doniesień, skład liczący 25 pracowników jest bardzo dobrze zorganizowany i składa się z czterech niezależnych grup odpowiedzialnych za rozwój szkodliwych komponentów HummingBad.
Yingmob i Yispecter – wspólne ślady
Wcześniej część firm badawczych łączyła Yingmob jedynie z Yispecte, oprogramowaniem malware działającym pod systemem iOS. Jednak najnowsze analizy firmy Check Point mogą potwierdzać, że ta sama grupa stoi najprawdopodobniej za HummingBad. Dotychczasowe śledztwo wykazało, że:
• Yispecter używa certyfikatów dla przedsiębiorstw Yingmob by zainstalować się na urządzeniach;
• HummingBad i Yispecter dzielą te same adresy serwerów C&C;
• repozytoria HummingBad zawierają dokumentację QVOD, odtwarzacz filmów porno działający w urządzeniach z systemem iOS, który kierowanego przez Yispecter;
• Obie aplikacje instalują złośliwe aplikacje w celu generowania zysków.
Miliony z reklam i nowe kierunki ataków
Yingmob używa kampanii do kontroli 85 mln urządzeń na całym świecie, które generują miesięcznie 300 tys. dolarów pochodzących z nielegalnych reklam! Ten stały strumień gotówki, w połączeniu ze skupioną strukturą organizacyjną, dowodzi, że cyberprzestępcy mogą łatwo stać się finansowo całkowicie samowystarczalni.
Ośmielony swoją niezależnością, Yingmob i inne podobne grupy, mogą szlifować swoje umiejętności w prowadzeniu kampanii malware, obierając zupełnie nowe kierunki, twierdzą badacze Check Pointa. Przykładowo, grupy mogą łączyć urządzenia w celach stworzenia potężnego botnetu, tworzyć bazy danych urządzeń w celu prowadzenia wysoce ukierunkowanych ataków czy tworzyć nowe źródła zysków, sprzedając dostęp do kontrolowanych urządzeń.
Bez możliwości wykrywania i zatrzymania podejrzanych zachowań, miliony urządzeń z Androidem wraz z danymi pozostają narażone na coraz bardziej zawansowane ataki.
Pojęcia z artykułu
Malware — malicious software — oprogramowanie złośliwe. Zbiorcza nazwa kodu wgranego bez wiedzy właściciela, który działa na czyjąś korzyść: kradnie dane, publikuje spam, dokłada serwer do sieci atakującej albo szyfruje pliki dla okupu.
Dlaczego to ważne: Malware rzadko krzyczy o swojej obecności. Częściej robi coś, co wygląda na normalny ruch — publikuje treści, wysyła pocztę, odpowiada na żądania — i przez miesiące nikt nie zauważa.
Kiedy się stosuje: Przy każdym audycie serwisu, po nietypowej aktywności konta, przy nagłym wzroście liczby publikacji.
Czym grozi pominięcie: Bez regularnego przeglądu plików i kont zainfekowany serwis pracuje dla kogoś innego: sprzedaje linki, rozsyła spam, a szkoda dla reputacji domeny wychodzi dopiero przy karze od wyszukiwarki.
Podsumowanie
Check Point przez pięć miesięcy obserwowało od wewnątrz grupę Yingmob, chińskich cyberprzestępców stojących za kampanią HummingBad na urządzenia Android. Złośliwe oprogramowanie instaluje aplikacje i czerpie zyski z reklam, a badacze wskazują na związki z wcześniejszym malware Yispecter — łączy je m.in. wspólna infrastruktura serwerów C&C.
Yingmob ma kontrolować 85 mln urządzeń, generując miesięcznie 300 tys. dolarów z nielegalnych reklam. Wg Check Pointa tak samowystarczalna finansowo grupa może rozwijać kampanie w nowych kierunkach: budować botnet, gromadzić bazy urządzeń pod ukierunkowane ataki czy sprzedawać dostęp do kontrolowanych maszyn.
