Ερευνητές της εταιρείας ασφαλείας Zimperium εντόπισαν το λογισμικό κατασκοπείας Arsink, ένα απομακρυσμένο trojan που έχει ήδη θέσει σε κίνδυνο περισσότερες από 45.000 συσκευές Android σε 143 χώρες. Το κακόβουλο λογισμικό μεταμφιέζεται ως premium εκδόσεις δημοφιλών εφαρμογών όπως το WhatsApp, το YouTube, το Instagram και το TikTok για να εξαπατήσει τους χρήστες να εγκαταστήσουν τον κακόβουλο κώδικα.
Η διανομή πραγματοποιείται κυρίως μέσω καναλιών όπως τα Telegram και Discord, εκτός από την κοινή χρήση τοποθεσιών. Μόλις εγκατασταθεί, το Arsink ζητά ευρείες άδειες και λειτουργεί στο παρασκήνιο, επιτρέποντας την παρακολούθηση σε πραγματικό χρόνο.
Ο trojan χρησιμοποιεί αξιόπιστες υπηρεσίες cloud για την αποστολή κλεμμένων δεδομένων και τη λήψη εντολών. Η δυνατότητα Essa κάνει τον εντοπισμό πιο δύσκολο καθώς αποφεύγει μοναδικά κακόβουλες αποκλειστικές υποδομές.
Πώς το Arsink εξαπατά τους χρήστες
Οι εισβολείς υπόσχονται αποκλειστικές δυνατότητες σε εκδόσεις “Pro” δημοφιλών εφαρμογών. Τα κακόβουλα αρχεία κυκλοφορούν σε ομάδες Telegram και κανάλια Discord, που συχνά μοιράζονται ως άμεσοι σύνδεσμοι.
Με την εγκατάσταση της ψεύτικης εφαρμογής, ο χρήστης παραχωρεί εκτεταμένες άδειες σε υποτιθέμενες λειτουργίες premium. Οι εξουσιοδοτήσεις Essas επιτρέπουν στο κακόβουλο λογισμικό να έχει πρόσβαση σε ευαίσθητα δεδομένα χωρίς να δημιουργεί άμεση υποψία.
- Οι πλαστές εκδόσεις των WhatsApp, YouTube και Instagram εμφανίζονται συχνά.
- Οι TikTok, Google και Facebook συγκαταλέγονται επίσης στις πιο μιμημένες εφαρμογές.
- Άλλοι στόχοι περιλαμβάνουν τα εργαλεία Discord και παραγωγικότητας.
Η καμπάνια εντόπισε περισσότερα από 1.200 μοναδικά δείγματα του κακόβουλου λογισμικού. Οι χειριστές εκμεταλλεύονται την εμπιστοσύνη στις υπηρεσίες cloud για να διατηρήσουν τις λειτουργίες ενεργές.
Προηγμένες δυνατότητες Trojan
Το Arsink παρέχει σχεδόν πλήρη έλεγχο στη μολυσμένη συσκευή. Το Ele συλλέγει πληροφορίες όπως ακριβή τοποθεσία, ιστορικό κλήσεων και συσχετισμένα διαπιστευτήρια λογαριασμού.
Το κακόβουλο λογισμικό καταγράφει ήχο περιβάλλοντος, καταγράφει μηνύματα κειμένου και έχει πρόσβαση σε γκαλερί φωτογραφιών και βίντεο. Το Além επιτρέπει επίσης αυτόματες συνδέσεις και απομακρυσμένη διαγραφή δεδομένων.
Οι χειριστές λαμβάνουν δεδομένα που έχουν εξαχθεί μέσω των Firebase και Google Drive. Η υποδομή που βασίζεται σε σύννεφο Essa καθιστά δύσκολο τον πλήρη αποκλεισμό της επικοινωνίας.
Η παραμονή του Arsink παραμένει ακόμη και μετά την επανεκκίνηση της συσκευής. Το εικονίδιο της εφαρμογής είναι κρυφό για να αποφευχθεί ο οπτικός εντοπισμός από τον χρήστη.
Παγκόσμια κατανομή της απειλής
Η καμπάνια προσεγγίζει χρήστες σε διαφορετικές ηπείρους χωρίς συγκεκριμένη γεωγραφική εστίαση. Τα Países καθώς και τα Paquistão, Índia και Bangladesh καταγράφουν σημαντικούς αριθμούς λοιμώξεων.
Η έρευνα έχει εντοπίσει περίπου 45.000 μοναδικές διευθύνσεις IP που σχετίζονται με θύματα. Η έλλειψη εκμετάλλευσης των τεχνικών τρωτών σημείων ενισχύει τη χρήση της κοινωνικής μηχανικής.
Τα κανάλια άμεσων μηνυμάτων χρησιμεύουν ως ο κύριος φορέας διάδοσης. Το Links με δυνατότητα λήψης εμφανίζεται επίσης σε πλατφόρμες κοινής χρήσης αρχείων.
Τεχνική δομή του κακόβουλου λογισμικού
Το Arsink λειτουργεί ως RAT εγγενής στο cloud, βασιζόμενος σε νόμιμες υπηρεσίες για εντολή και έλεγχο. Το São χρησιμοποίησε περισσότερα από 300 μοναδικά τελικά σημεία στο Firebase για επικοινωνία.
Οι προγραμματιστές ενημερώνουν συνεχώς τα δείγματα για να παρακάμψουν τις άμυνες. Η αρθρωτή αρχιτεκτονική καθιστά εύκολη την προσθήκη νέων χαρακτηριστικών.
Ο trojan συλλέγει αναγνωριστικά συσκευών, δημόσιες διευθύνσεις IP και email από λογαριασμούς Google. Οι αρχικές πληροφορίες Essas βοηθούν στη διαλογή των πιο πολύτιμων θυμάτων.
Λήφθηκαν μέτρα κατά της εκστρατείας
Ο Zimperium συνεργάστηκε με τον Google για να απενεργοποιήσει τους συσχετιζόμενους κακόβουλους λογαριασμούς. Το Google Play Protect αποκλείει αυτόματα γνωστές εκδόσεις κακόβουλου λογισμικού.
Δεν υπάρχουν αρχεία διανομής μέσω του επίσημου καταστήματος Google. Τα αρχεία με πλευρική φόρτωση Aplicativos αποτελούν τον κύριο κίνδυνο μόλυνσης.
Οι λύσεις ασφάλειας για κινητά εντοπίζουν το Arsink με συμπεριφορά σε πραγματικό χρόνο. Τα αναλυτικά στοιχεία στη συσκευή εντοπίζουν ύποπτη δραστηριότητα χωρίς να βασίζονται σε υπογραφές.
Προτεινόμενες μορφές προστασίας
Οι χρήστες θα πρέπει να αποφεύγουν τη λήψη από ανεπίσημες πηγές. Η εγκατάσταση μόνο από Google Play μειώνει σημαντικά τους κινδύνους.
Είναι απαραίτητο να αναθεωρήσετε τα δικαιώματα που ζητούνται από νέες εφαρμογές. Concessões Η υπερβολική πρόσβαση πρέπει να αξιολογείται με προσοχή.
- Διατηρήστε το λειτουργικό σύστημα ενημερωμένο.
- Ενεργοποίηση Google Play Protect;
- Χρησιμοποιήστε εξειδικευμένες λύσεις ασφάλειας για κινητά.
- Αποφύγετε να κάνετε κλικ σε ύποπτους συνδέσμους στα messenger.
Ο τακτικός έλεγχος των εγκατεστημένων εφαρμογών βοηθά στην έγκαιρη αναγνώριση. Υποδεικνύεται το άμεσο Remoção άγνωστων ή αχρησιμοποίητων εφαρμογών.
Συνεχώς εξελισσόμενη απειλή
Οι χειριστές Arsink επιδεικνύουν την ικανότητα γρήγορης προσαρμογής. Οι παραλλαγές Novas εμφανίζονται τακτικά με ελάχιστες τροποποιήσεις κώδικα.
Η εκστρατεία έχει διατηρήσει έντονη δραστηριότητα από τα τέλη του 2025. Ο αριθμός των θυμάτων συνεχίζει να αυξάνεται σε διάφορες περιοχές.
Οι ερευνητές παρακολουθούν τις υποδομές για να προβλέψουν τις κινήσεις. Η συνεργασία μεταξύ εταιρειών ασφαλείας και πλατφορμών cloud παραμένει απαραίτητη.
Επιπτώσεις σε παραβιασμένες συσκευές
Μόλις ενεργοποιηθεί, το Arsink λειτουργεί αθόρυβα και συνεχώς. Η κατανάλωση μπαταρίας μπορεί να αυξηθεί λόγω δραστηριοτήτων στο παρασκήνιο.
Ο κίνδυνος διαρροής προσωπικών δεδομένων επηρεάζει άμεσα το απόρρητο. Informações οικονομικές πληροφορίες και ιδιωτικές συνομιλίες εκτίθενται στους χειριστές.
Οι εταιρείες αντιμετωπίζουν πρόσθετες απειλές όταν μολύνονται εταιρικές συσκευές. Η ευαίσθητη εργασία Dados μπορεί να παραβιαστεί έμμεσα.
Αποκαλύφθηκαν οι επιχειρησιακές λεπτομέρειες
Η ανάλυση εντόπισε 317 βάσεις δεδομένων Firebase που χρησιμοποιήθηκαν ως καταβόθρες δεδομένων. Εσφαλμένο Configurações σε ορισμένους διακομιστές επέτρεψε την απαρίθμηση των θυμάτων.
Το κακόβουλο λογισμικό κρύβει την παρουσία του αλλάζοντας τις ρυθμίσεις του συστήματος. Το Notificações και τα εικονίδια αποκρύπτονται για να διατηρηθεί η διακριτικότητα.
Οι απομακρυσμένες εντολές περιλαμβάνουν ενεργοποίηση μικροφώνου και κάμερας όταν είναι διαθέσιμη. Η λήψη οθόνης σε πραγματικό χρόνο επεκτείνει τις δυνατότητες επιτήρησης.
Η επιχείρηση επιδεικνύει πολυπλοκότητα αποφεύγοντας τη δική της υποδομή. Η εξάρτηση από νόμιμες υπηρεσίες περιπλέκει τις νομικές ενέργειες και τις τεχνικές αποκλεισμού.
