یک کمپین کلاهبرداری گسترده با استفاده از تبلیغات سرویس‌های رایگان پخش تلویزیونی (Streaming)، کاربران اندروید را به نصب اپلیکیشنی خطرناک به نام StreamRat ترغیب کرده است. این بدافزار که در ابتدا کاربران اسپانیایی‌زبان را هدف قرار داده بود، می‌تواند کنترل کامل دستگاه را به مهاجم بدهد.
مکانیزم توزیع و مهندسی اجتماعی
این عملیات با تبلیغاتی در شبکه‌های اجتماعی آغاز می‌شود که وعده دسترسی رایگان به محتوای تلویزیونی می‌دهند. وب‌سایت مقصد ابتدا سیستم‌عامل کاربر را بررسی کرده و در صورت اندروید بودن، دستورالعمل‌های گام‌به‌گام برای نصب اپلیکیشن را نمایش می‌دهد. این فرآیند شامل مراحل زیر است:
- ترغیب کاربر به فعال‌سازی نصب از منابع ناشناس (Unknown Sources).
- درخواست فعال‌سازی سرویس Accessibility (دسترسی‌پذیری) که یکی از حساس‌ترین دسترسی‌های اندروید است.
- استفاده از یک Dropper اولیه که سعی می‌کند خود را به عنوان صفحه اصلی (Home Screen) پیش‌فرض گوشی تعریف کند تا کاربر را مجبور به دنبال کردن دستورالعمل‌های نصب بدافزار اصلی کند.
قابلیت‌های فنی و خطرات امنیتی
پس از دریافت دسترسی Accessibility، بدافزار StreamRat قادر است اقدامات زیر را انجام دهد:
- مانیتورینگ صفحه: ثبت هر آنچه در صفحه نمایش داده می‌شود و ضبط اطلاعات تایپ شده (Keylogging).
- کنترل از راه دور (Remote Control): اجرای عملیات لمس (Tap) و کشیدن (Swipe) توسط عامل تهدید.
- سرقت اطلاعات: دسترسی به اپلیکیشن‌های بانکی، پیام‌ها و حساب‌های حساس از طریق ایجاد صفحات ورود جعلی (Overlay Attack).
- پنهان‌سازی فعالیت‌ها: نمایش یک صفحه سیاه یا پیام جعلی «به‌روزرسانی سیستم» برای پوشاندن فعالیت‌های مهاجم در پس‌زمینه.
تکنیک‌های پیشرفته برای دور زدن امنیت
تحلیلگران امنیتی مشاهده کردند که این Dropper می‌تواند درخواست دسترسی به VPN داده و اتصالی ایجاد کند که ترافیک عادی را مسدود کرده و تنها اجازه دانلود Payload اصلی را می‌دهد. گمان می‌رود این اقدام برای مختل کردن بررسی‌های امنیتی مبتنی بر Cloud انجام شود.
شاخص‌های شناسایی (IoCs)
برخی از نمونه‌های شناسایی شده عبارتند از:
- نام اپلیکیشن‌ها: StrεαmTV Pro و Sistema de vídeo
- پکیج‌ها: io.base.one887 و io.meat.hint
- آدرس‌های C2: 45.147.28[.]59 و 193.32.2[.]245
