Sandworm развернул вредонос Infamous Chisel для атак на Android-устройства украинских военных

Согласно документу, опубликованному британским Национальным центром кибербезопасности (NCSC) совместно с АНБ, CISA, ФБР, а также аналогичными структурами Новой Зеландии, Канады и Австралии, вредонос представляет собой коллекцию утилит, обеспечивающих постоянный удалённый доступ к заражённому устройству и эксфильтрацию конфиденциальных данных. Infamous Chisel спроектирован для работы через сеть Tor и включает в себя средства для мониторинга трафика, сбора информации о системе и локальной сети.

Основными функциями набора являются сканирование файлов по заданным расширениям и регулярная отправка обнаруженных данных на сервер злоумышленников. Кроме того, вредонос способен сканировать локальную сеть на предмет активных хостов, открытых портов и баннеров. Для удалённого доступа используется скрытый сервис Tor, который перенаправляет соединения на модифицированную версию Dropbear SSH-сервера.

Исследователи отмечают, что Infamous Chisel состоит из нескольких компонентов. Ключевым элементом является модуль netd, который заменяет легитимный системный процесс netd на Android-устройстве. Такая замена обеспечивает закрепление в системе и выполнение с привилегиями root. Заражение начинается с того, что злоумышленники помещают вредоносный netd вместо оригинального файла по пути /system/bin/netd. При запуске через init проверяется, является ли родительский процесс именно init. Если да, netd запускает резервную копию легитимного процесса netd_ с теми же параметрами, сохраняя нормальную работу системы, но при этом сам остаётся активным с повышенными правами.

Компонент killer, напротив, предназначен для остановки вредоносного netd. Он завершает процесс, если он не является резервной копией. Для сжатия и запуска Tor используется программа blob. Именно blob распаковывает и конфигурирует исполняемый файл td (стандартный Tor без изменений) и создаёт файл конфигурации /data/local/prx.cfg. В этой конфигурации задаются локальный порт SOCKS4 127.0.0.1:1129, каталог данных /data/local/prx/ и скрытый сервис на порту 34371. После этого blob регулярно проверяет доступность сети через подключение к домену www.geodatatool[.]com через SOCKS-прокси.

Как показал анализ международных агентств, вредонос включает в себя многокомпонентные двоичные файлы db, ndbr_armv7l и ndbr_i686, которые содержат Dropbear, Dropbearkey, SSH, SCP, собственный сетевой сканер nmap, а также вспомогательные утилиты watchdog, rmflag и mkflag. Последние отвечают за создание каталогов и файлов-флагов, а также за настройку iptables для разрешения входящих TCP-соединений на 34371 порт. Модификации в Dropbear затрагивают функции аутентификации: злоумышленники заменили стандартные процедуры getpwnam, getpwuid и getspnam на собственные версии, которые проверяют жёстко заданные имя пользователя и идентификатор 0xbeef. Если эти значения совпадают, возвращается предопределённая структура данных, что позволяет обойти парольную защиту.

Сбор информации выполняется с интервалами. Каждые 86 000 секунд (около 24 часов) netd запускает поиск файлов по расширениям (.dat, .bak, .xml, .txt, .ovpn, .db, .pdf, .xlsx, .csv, .zip, .png, .jpg, .kml и другие) в нескольких директориях, включая /sdcard, /data/media, а также каталоги приложений: OpenVPN, Telegram, Signal, WhatsApp, Google Authenticator, криптовалютные кошельки и другие. Дополнительно выполняется скрипт сбора системной информации: android_id, список установленных пакетов, IP-конфигурация, GPS-координаты, сведения о производителе и батарее. Собранные данные временно сохраняются в /data/local/tmp/.syscache.csv и других файлах, затем отправляются на сервер через HTTPS POST-запросы.

Интервал эксфильтрации конфигурационных файлов (с расширениями .json и .json.bak) составляет 10 минут. Каждые 172 000 секунд (почти двое суток) проводится сканирование локальной сети с помощью встроенного сканера minmap. Результаты записываются в файл .ndata.csv и также отправляются. Для предотвращения повторной отправки одних и тех же файлов используется файл .google.index, в который записываются MD5-хеши уже отправленных данных. При достижении лимита в 16 384 хеша запись начинается с начала, что может привести к дублированию.

Трафик эксфильтрации шифруется с использованием TLS. Сначала попытка соединения выполняется на жёстко заданный локальный IP-адрес и порт (предположительно через VPN-туннель), а при неудаче - на внешний домен через DNS-запрос к dns.google. В HTTP-заголовках используется User-Agent, характерный для Windows, что может быть замечено при глубоком анализе, но в шифрованном трафике это сложно выявить.

Отчёт отмечает, что сложность Infamous Chisel оценивается как низкая или средняя. Разработчики не применяли изощрённых методов обфускации или скрытия активности. Однако замена системного демона netd и модификация аутентификации Dropbear требуют хорошего знания C++ и понимания механизмов загрузки Linux. На большинстве Android-устройств отсутствуют системы обнаружения хостовых угроз, поэтому злоумышленники могли не считать маскировку необходимой.

Сбор специфических данных, связанных с военными приложениями, в том числе конфигураций VPN, мессенджеров и криптокошельков, прямо указывает на целевую направленность атаки. Несмотря на примитивность отдельных компонентов, вредонос представляет серьёзную угрозу из-за объёма информации, которую он способен извлечь. Международные агентства рекомендуют операторам мобильных устройств, особенно в силовых структурах, применять усиленные меры защиты: обновлять прошивки, ограничивать установку сторонних приложений, использовать решения для мобильной безопасности и регулярно проверять целостность системных файлов. Данная кампания подтверждает тенденцию роста целенаправленных атак на мобильные платформы со стороны государственных злоумышленников.