به گزارش کارگروه امنیت سایبربان؛ تروجان دسترسی از راه دور GravityRAT باری دیگر در حال انتشار در حملات سایبری می باشد. GravityRAT این بار در نقاب یک اپلیکیشن چت سرتاسر رمزنگاری شده به نام SoSafe Chat فعالیت می کند.
این RAT که توسط بازیگران مخرب پاکستانی منتشر می شود، غالبا کاربران هندی را مورد هدف قرار می دهد.
بررسی های اخیر نشان از آن دارد که هدف Gravity همچنان تغییر نکرده و این تروجان هنوز افراد شناخته شده و مهم هند را هدف قرار می دهد. از جمله این افراد می توان به افسران نیروی ارتش هند اشاره کرد.
این بدافزار در سال 2020 مردم را از طریق اپلیکیشن اندرویدی به نام Travel Mate Pro را هدف قرار می داد اما با شروع پاندمی کرونا و کاهش حجم مسافرت ها، بازیگران مخرب مجبور به تغییر نقاب خود شدند.
نقاب جدید این تروجان، اپلیکیشن اندرویدی به SoSafe می باشد. این اپلیکیشن پیام رسانی به صورت سرتاسری رمزنگاری شده است.
وبسایت این اپلیکیشن همچنان فعال است اما لینک دانلود و فرم ثبت نام آن در حال حاضر غیر قابل دسترسی می باشند.
کانال و روش انتشار همچنان ناشناخته است اما احتمال می رود این کار از طریق هدایت ترافیک به پست های شبکه اجتماعی و ارسال پیام های متعدد به اهداف انجام می شود. ( از طریق تبلیغات مخرب )
هنگامی که این جاسوس افزار بر روی دستگاه هدف نصب می شود، می تواند طیف وسیعی از رفتارهای مخرب سایبری را اجرایی کند. بازیگران مخرب در این شرایط می توانند اقدامات زیر را عملی کنند:
- انتقال غیر مجاز داده کاربران
- جاسوسی از قربانیان
- ردیابی موقعیت مکانی کاربران
- خواندن پیامک ها، لیست تماس ها و داده های مخاطبین
- تغییر تنظیمات سیستم
- خواندن اطلاعات شبکه تلفن همراه، شماره تلفن، شماره سریال تلفن قربانی، وضعیت تماس های فعال و لیست حساب های رجیستر شده در دستگاه
- خوانش و نوشتن فایل ها بر روی فضای ذخیره سازی خارجی دستگاه
- ضبط صوت
- دریافت اطلاعات شبکه های متصل به دستگاه
- به دست آوردن اطلاعات مربوط به موقعیت مکانی دستگاه
طبق گفته محققین Cyble، لیست دسترسی هایی که این بدافزار درخواست می کند بسیار گسترده است.
GravityRAT در مقایسه با نسخه 2020 خود، قابلیت ضبط فایل صوتی و ویژگی های موبایلی دیگری را نیز به قابلیت های خود اضافه کرده است.
GravityRAT پیش از نسخه 2020 خود، عمدتا دستگاه های ویندوز را هدف قرار می داد و قادر به آلوده سازی گوشی های موبایل نبود.
این موضوع نشان می دهد که عاملین این بدافزار به صورت فعالی در حال توسعه آن هستند.
