Aggiornamenti recenti Marzo 17th, 2025 2:00 PM
partner
News Recenti
- Transparency Center Initiative di Kaspersky Lab: cosa significa per l’Italia
- ClickFix: torna la campagna di phishing che colpisce il settore turistico
- CERT-AGID 8-14 marzo: contrastata una campagna malspam con DGA
- Scoperto KoSpy, un nuovo spyware Android nord-coreano
- Il ransomware Medusa ha colpito oltre 300 infrastrutture critiche
- Apple risolve un bug 0-day di WebKit già sfruttato
- Transparency Center Initiative di Kaspersky Lab: cosa significa per l’Italia
- ClickFix: torna la campagna di phishing che colpisce il settore turistico
Scoperto KoSpy, un nuovo spyware Android nord-coreano
I ricercatori di Lookout hanno individuato KoSpy, uno spyware Android attributo al gruppo nord-coreano APT37, noto anche come ScarCruft, attivo dal 2012.
KoSpy sfrutta finte applicazioni di utility come File Manager, Software Update Utility o tale “Kakao Security” per infettare i dispositivi Android coreani e di utenti di lingua anglosassone. Le prime due app presentano una tipica interfaccia per la gestione di file e dispositivo, mentre Kakao Security si limita a mostrare una finta finestra di sistema.
Una volta installata l’applicazione, lo spyware viene avviato. KoSpy recupera una configurazione cifrata da Firebase Firestore contenente uno switch “on/off” per permette agli attaccanti di controllare l’attività dello spyware e l’indirizzo del server C2.
Questo meccanismo permette ai cybercriminali di abilitare o disabilitare KoSpy e modificare l’indirizzo del server di comunicazione nel caso venga individuato o bloccato. I ricercatori di Lookout hanno individuato cinque diversi progetti Firebase e altrettanti server C2 usati dagli attaccanti.
KoSpy è in grado di scaricare e installare plugin per espandere le proprie capacità di spionaggio. Tra le principali feature dello spyware ci sono la raccolta di SMS e del registro di chiamate, l’accesso a file e cartelle sullo storage locale, la registrazione di audio, la cattura di screenshot, l’uso della fotocamera e la registrazione dei tasti premuti.
Le applicazioni compromesse, presenti sul Play Store, sono state rimosse immediatamente dopo la segnalazione di Lookout. Stando a uno snapshot della pagina di download di File Manager, l’applicazione è rimasta online a lungo ed è stata scaricata da almeno una decina di utenti.
Secondo l’analisi di Lookout, l’infrastruttura dello spyware KoSpy coinciderebbe con quella usata da APT43, un altro gruppo nord-coreano. “I cyberattaccanti nord-coreani sono conosciuti per avere infrastrutture, obiettivi e TTP analoghi, il che rende difficile l’attribuzione [degli attacchi] a uno specifico gruppo“.
Condividi l'articolo
CERT-AGID 8-14 marzo: contrastata una campagna malspam con DGA
Il ransomware Medusa ha colpito oltre 300 infrastrutture critiche
Articoli correlati
Altro in questa categoria
Approfondimenti
Minacce recenti
Off topic
Post recenti
Ransomware: la serie
No posts found.
