Rafel RAT恶意软件可能影响39亿台旧安卓手机
2024-6-27 15:40:22 Author: mp.weixin.qq.com(查看原文) 阅读量:6 收藏

威胁攻击者正在大量部署一种名为「Rafel RAT」的开源恶意软件,攻击「过时」安卓设备。Check Point 安全研究人员 Antonis Terefos 和 Bohdan Melnykov 表示,共检测到超过 120 个使用 Rafel RAT 恶意软件的网络攻击活动。

据悉,Rafel RAT 恶意软件的攻击目标主要是政府和军事部门,大多数受害者位于美国、中国和印度尼西亚。其中一些攻击活动是由 APT-C-35(DoNot Team)等知名勒索软件组织发起,伊朗和巴基斯坦疑似为恶意活动的源头。

Rafel RAT 恶意软件目标品牌和型号非常广泛,包括三星 Galaxy、谷歌 Pixel、小米红米、摩托罗拉 One 以及 OnePlus、vivo 和华为的设备。

Check Point 分析大量网络攻击活动后发现,受害者运行的安卓版本已达到生命周期终点(EoL),其中 87.5% 运行安卓 11 及以上版本,只有 12.5% 的受感染设备运行 Android 12 或 13。鉴于很多「过时」版本不再接受安全更新,因此容易受到已知/已发布漏洞的攻击。据此推测,有超过39亿台的安卓设备/手机(包括用户弃用)或被暴露在这一威胁之下。

Rafel RAT 勒索软件

恶意软件传播途径多种多样,威胁攻击者通常会滥用 Instagram、WhatsApp、电子商务平台或杀毒应用程序等知名品牌,诱骗人们下载恶意 APK。

捆绑 Rafel RAT 安装程序的虚假应用程序(来源:Check Point)

安装过程中,Rafel RAT 恶意软件会请求访问风险权限,包括免于电池优化,允许在后台运行。值得一提的是,Rafel RAT 恶意软件支持的命令因变种而异,但一般包括以下命令:

勒索软件:启动设备上的文件加密进程;

wipe:删除指定路径下的所有文件;

锁定屏幕:锁定设备屏幕,使设备无法使用;

sms_oku:向命令与控制 (C2) 服务器泄漏所有短信(和 2FA 代码);

location_tracker:向 C2 服务器泄露实时设备位置。

Rafel RAT 恶意软件的行动由中央面板控制,威胁攻击者可在此访问设备和状态信息,并决定下一步攻击步骤。

Rafel RAT 面板上受感染设备概览(来源:Check Point )

最常发布的命令(来源:Check Point )

Rafel RAT 中的勒索软件模块旨在通过控制受害者的设备,并使用预定义的 AES 密钥加密他们的文件来执行勒索计划。

Rafel RAT 的加密方法(来源:Check Point )

一旦获得了受害者设备的管理权限,Rafel RAT 勒索软件就能轻松控制设备的关键功能,例如更改锁屏密码和在屏幕上添加自定义信息(通常是赎金说明)。如果用户试图撤销管理权限,勒索软件就会立刻做出反应,更改密码并立即锁定屏幕。

针对权限撤销企图的反应机制(来源:Check Point )

Check Point 的研究人员检测到了几起涉及 Rafel RAT 勒索软件攻击活动,其中包括一次来自伊朗的攻击,该攻击在运行加密模块之前使用了 Rafel RAT 的其他功能进行侦查。之后,威胁攻击者很快就清除了通话记录,更改壁纸以显示自定义信息,锁定屏幕,激活设备振动,并发送包含赎金说明的短信,敦促受害者在 Telegram 联系威胁攻击者。

最后,安全专家强调想要抵御 Rafel RAT 恶意软件攻击,请避免从可疑来源下载 APK,不要点击电子邮件或短信中嵌入的 URL,并在启动应用程序前使用 Play Protect 扫描。
参考资料:

https://www.bleepingcomputer.com/news/security/ratel-rat-targets-outdated-android-phones-in-ransomware-attacks/

原文来源:FreeBuf
“投稿联系方式:010-82992251   [email protected]


文章来源: https://mp.weixin.qq.com/s?__biz=MzkyMzAwMDEyNg==&mid=2247544617&idx=2&sn=dbfc63d2b06abd3cfbb721addd10b331&chksm=c1e9a378f69e2a6e8eb605331db6f08c9edcd0eeae5affb5089085eaf44929f34f71bb6860f1&scene=58&subscene=0#rd
如有侵权请联系:admin#unsafe.sh