CYFIRMA-Forscher stellten fest, dass eine indische APT-Gruppe namens Bahamut Ziele mit einer gefälschten Android-Chat-App infiziert, um sensible Gerätedaten zu stehlen.
Die gefälschte Android-App tarnt sich als sicherer Messenger namens Safe Chat, der bei der Installation umfangreiche Berechtigungen einfordert. Mithilfe einer sicheren Pipeline transportiert die Malware-Anwendung die gestohlenen Daten zum C2 des Hackers. Forscher brachten den Bedrohungsakteur mit einem anderen indischen APT in Verbindung, das über ähnliche TTPs verfügt.
Ein von Malware befallener Messenger
CYFIRMA-Forscher detailliert eine neue Kampagne Bahamut Team, das eine Malware-Variante von „“ verpackte, um sensible Daten von Zielen in Südasien zu stehlen. Die Spyware-Malware extrahiert Anrufprotokolle, Textnachrichten und GPS-Standorte von Zieltelefonen und exportiert sie sicher auf das C2 des Hackers.
Der Bedrohungsakteur beginnt mit der Initiierung einer Konversation mit dem Ziel auf WhatsApp (obwohl nicht bekannt ist, wie er den Kontakt Social Engineering durchführt) und fordert ihn auf, eine sichere Chat-App namens „Sicherer Chat” – gefälscht und enthält Malware.
Und wenn das Ziel ahnungslos eine solche Anwendung installiert, wird es zur Glaubwürdigkeit auf eine Registrierungsseite weitergeleitet, lädt aber die Spyware-Malware im Hintergrund. Einmal getan, Die App fordert einen breiten Satz an Barrierefreiheitsberechtigungen an, um indirekten Zugriff auf die Kontaktliste, SMS, Anrufprotokolle, den externen Gerätespeicher und den genauen GPS-Standort des Ziels zu erhalten.
Alle von diesen Punkten gestohlenen Daten werden über ein spezielles Datenexfiltrationsmodul über Port 2053 an den C2 des Hackers übertragen. Um einer Entdeckung zu entgehen, werden die gestohlenen Daten außerdem mit einem anderen RSA-kompatiblen Modul, ECB. und OAEPPadding, verschlüsselt. Gleichzeitig ist das Datenexfiltrationsportal durch Let’s Encrypt-Zertifikate geschützt, um ein Abfangen zu verhindern.
Ermittler bringen die Bahamut-Gruppe mit einer namentlich nicht genannten Landesregierung in Indien in Verbindung. Sie haben indischen Ursprung, weil ihre TTPs mit denen einer anderen staatlich geförderten indischen Bedrohungsgruppe namens „DoNot APT“ (APT-C-35) übereinstimmen.
