Исследователи из Lookout Threat Lab обнаружили два инструмента для слежки за Android, BoneSpy и PlainGnome, связанные с APT-группой Gamaredon (Aqua Blizzard). Эти инструменты были нацелены на русскоязычных людей в бывших советских республиках, причем BoneSpy действует как минимум с 2021 года, а PlainGnome появился в 2024 году.
Gamaredon APT
BoneSpy и PlainGnome собирают конфиденциальные мобильные данные, такие как SMS, журналы вызовов, фотографии, местоположение устройства и списки контактов с андроид-устройств. BoneSpy является производной от российского DroidWatcher с открытым исходным кодом, в то время как PlainGnome, разработанный не на той же кодовой базе, выступает в качестве дроппера для полезной нагрузки наблюдения. Примечательно, что BoneSpy может управляться с помощью SMS-сообщений.
Принадлежность к Gamaredon основана на общих IP-адресах, соглашениях об именовании доменов и использовании динамических DNS-провайдеров, что соответствует деятельности группы. По данным Lookout Threat Lab, это первые семейства мобильных вредоносных программ, которые были публично приписаны Gamaredon.
Вредоносные программы, вероятно, распространяются с помощью целевой социальной инженерии, причем BoneSpy развивается и использует троянизированные приложения Telegram в качестве приманки, что указывает на возможную нацеленность на предприятия. Развертывание PlainGnome включает в себя минимальный первый этап, на котором распространяется вредоносный APK, а затем второй этап, на котором осуществляется слежка.
Командная и контрольная инфраструктура для обеих систем использует сервис No-IP Dynamic DNS и связана с российским провайдером Global Internet Solutions LLC.
Indicators of Compromise
Domains
- fiordmoss.ddns.net
- goos.pw
- llkeyvost.ddns.net
- ltkwark.ddns.net
- ollymap.pw
- weeklyoptional.ddns.net
- winterknowing.ddns.net
- wleak.pw
SHA256
- 114d2a25bb4c296f8ef5bfca4e8192b5aca9b169099ac6291139e68cfc7e37dc
- 255996e1aa2a7514b167d9c940d7c8ff3c34393e97e43bda319eb92ea626c4eb
- 278c9819583ce64913882d425c1d7634307b290709e0143e9268f8f999dacfba
- 2c7827f92a103db1b299f334043fbdc73805bbee11f4bfac195f672ba0464d22
- 2ef72c67cf76e8162f5e4bf0a743ac4ed756e153593c430cedf2043a310b24e8
- 30429e95b9318816709e23488c77e364a294b6f5f7e3ee414a6a2bef74620ca6
- 39cb17cb03a794e69eb4f0694e90e41a8cfb8480b82da82fcbd4a88dfe49930d
- 3a4fa698536111f377030a5d794851d2e23b18d67e6d440ce883b9906d65037d
- 3b5794ca6051740fff6e1b449db06f169df2749f81aaf4c329e18b12afb9a5c7
- 46b10de13887c36d61517125bec87c4557f325114221291a3ac7142cbc15de29
- 533ff7ba5eb5329cb860486a952259a4dfc0d74654831eb08dbcadc1ae5ca333
- 551b8917f57c5cf8cd0a34c1d500db1dd4aed8ec8f31d28a5fabc4720e5b89a3
- 5b7b5a2995c102121695225797f12f0b860500150472126b3b465b51ccad07bd
- 629ca39d2c90ff8b343ba1f4cfae11bbc2f61ca6bae80bd093f22efbcf4e4770
- 633875ce353391ea8bd4c92d8f3f57a525ff0abf9eba8d78528de616b1ee7118
- 6bfdc285dee8ae3e3dade52a34f5d178163e4a08904b651ff5c906e78ddccec0
- 7a8ec25f3d4a5c6b4fbdb1002ce22ff0352ce65c0f4ddc9567458e8fcb964845
- 7de055018723b612dfa66a90c83a69afce7db918fb7fa88619833557c4fc61c3
- 8407fed605805f0e7ef9628767d0aff1014e7231549b09f3c0d0cb723f07c48a
- 86e51f1cc8213e173e47080ab45577e922e624006954de73ebae531589c912f4
- 8af63d7aa2142701116207f61e3e01c9e0239731e5bbbdf79114889b56ca46ea
- 9dd73c9caa547358b6fe5acddf59443d7bf0ffc5b92867e9b67edd5bb2a9f786
- a3b0c178ab5e6e4b3442d358a78df7409461fa48f6ca8e63b730b0a455a89b18
- acede5fa46e09803adf9de5e731ca690dc7b02b69a63bacd4836429d289ec4f0
- bd65dbd61f27a90c0770d5f8cc02cfa7d9552f0fb300868611d69972b42d3f1c
- bed2cf8758d86daaf25475cc6ed1c71fd3f9a922247c42fe246f8542c76d8c15
- c82f0a1546bf7025993f2e7da33d1a741d91c78b01268a2d44afa31e66eb2fe8
- cb648ba5cce810e5ba17b89ca2c346bd3f0ad612834c225ec7b55871c4acc085
- ce6e5838f3ada452b64ffc6261e9bf74479bd31e83f77c7409c89564846db6a3
- de3a0b30b8976da933fe6bf88e6e7ab2386a967ada2599ef1dc1b12100a37694
- dfaa47ed20021c4f84bf68820a618f9e8a2e077d36b6d7281e8724b2124c7825
- e0c5656ca9877b37e92f5208caf9c65365e9d35ea6eb351915eb3efee235db31
- eadd9c3e3f7a1c5e008ca157cb850aa72d283f702da2ab4daf0e4af4d926ab3e
- f0acf9558b7a4fcdaa119731ad5fb5bbdf5a704c9be9e929735a4679735989db
- f948b650bdc63cf9b1781d651974a9c54d2b2981d3bf4b882f48c3a406272470
- fd5fa718a7411b18845b76d7007db6b4431b1a2ce2f8b2cc047c0fff7c46161f