Android malver NotCompatible evoluirao u pretnju koja može ugroziti korporativne mreže

Mobilni telefoni, 21.11.2014, 00:06 AM

Analizirajući treću verziju trojanca NotCompatible koja regrutuje Android uređaje u bot mrežu istraživači iz firme Lookout su zaključili da je NotCompatible.C postavio nove standarde u pogledu sofisticiranosti malvera i operativne kompleksnosti. Malver je neuhvatljiv i otporan u toj meri da podseća na “kišnu glistu sa odsečenim zadnjim krajem koja se obnavlja i napreduje”, kažu istraživači.

Malver NotCompatible stoji iza jedne od višenamenskih mobilnih bot mreža koje najduže traju a sa novom verzijom postao je još nevidljiviji i otporniji. Malver je pravi primer kako napreduje kompleksnost mobilnih malvera i kako se pozajmljuju tehničke taktike već viđene kod malvera za računare.

Prva verzija malvera, NotCompatible.A, je prvi put otkrivena 2012., a pretnja je delovala kao proksi na inficiranim uređajima. Sa verzijom C ovog malvera uočljivo je da je tehnologija sazrela ali da je upotreba ostala ista. Bot mreža NotCompatible se koristila za slanje spama na Live, AOL, Yahoo i Comcast adrese, masovnu kupovinu karata na Ticketmaster, Live Nation, EventShopper i Craiglist, za pokretanje brute-force napada protiv WordPress sajtova i za kontrolu kompromitovanih sajtova. Istraživači su uvereni da se bot mreža iznajmljuje kriminalcima za različite aktivnosti. Malver se može koristiti i za ciljane napade na korporativne mreže jer omogućava napadačima da koriste inficirane uređaje kao proksije.

Kada je otkriven pre dve godine, NotCompatible je bio prvi malver za Android koji se širio u drive-by download napadima sa kompromitovanih sajtova.

Uređaji koji bi posetili takve sajtove automatski bi preuzeli maliciozni .apk fajl. Korisnici bi tada videli obaveštenje o završenom preuzimanju i kada bi kliknuli na njega od njih bi se tražilo da instaliraju aplikaciju ako je u podešavanjima telefona omogućeno instaliranje aplikacija preuzetih iz nepoznatih izvora.

Metod distribucije malvera je i sa novom verzijom ostao uglavnom nepromenjen, ali su sam malver i njegova C&C infrastruktura značajno evoluirali od 2012. godine,

NotCompatible.C šifruje sve komunikacije sa C&C serverima za komandu i kontrolu, tako da se taj saobraćaj ne može razlikovati od legitimnog saobraćaja. Malver takođe može direktno komunicirati sa drugim inficiranim uređajima, formirajući peer-to-peer mrežu.

Napadači balansiraju opterećenje i koriste geolokacijske tehnike na strani infrastrukture tako da se inficirani uređaji preusmeravaju na jedan od više od 10 različitih servera koji se nalaze u Švedskoj, Poljskoj, Holandiji, Velikoj Britaniji i SAD.

Iako do sada ovaj malver nije korišćen u napadima na korporativne mreže, proksi kapaciteti malvera omogućavaju da on bude potencijalna pretnja takvim okruženjima. Ako se uređaj inficiran malverom NotCompatible.C unese u kompaniju, oni bi mogao omogućiti operaterima bot mreže pristup kompanijskoj mreži.

“Uz pomoć NotCompatible proksija, napadač može uraditi bilo šta, od popisivanja ranjivih računara unutar mreže, do iskorišćavanja ranjivosti i traženja podataka. Mi verujemo da je NotCompatible već prisutan u mnogo korporativnih mreža jer smo primetili, preko baze korisnika Lookouta, stotine korporativnih mreža sa uređajima koji su se susreli sa malverom NotCompatible”, kažu istraživači.