Észak-Korea titkos kémszoftvere bukkant fel a Google Play Áruházban.
A Lookout kiberbiztonsági vállalat szerdai jelentése szerint észak-koreai kormányzathoz köthető hackereknek sikerült egy kémszoftvert csempészniük a minden Android alapú okostelefonon elérhető Google Play Áruházba. A vállalat információi alapján a Techrunch arról számolt be, hogy a kártékony programot több mint tízszer töltötték le a Play Áruházból, mielőtt azt eltávolították volna a kínálatból, így több felhasználó készülékét is megfertőzhették vele.
A Lookout szerdán közzétett jelentésében többféle verzióját azonosították egy KoSpy nevű kémprogramnak, amely korábban megtalálható volt a Google Play áruházban, minden Android-alapú okostelefon számára hozzáférhetően.
A cég nagy bizonyossággal állítja, hogy a program az észak-koreai kormányhoz köthető.
A Lookout jelentése alapján a KoSpy képes komoly mennyiségű érzékeny adatot összegyűjteni az általa megfertőzött készülékekről. Ez magában foglalhatja többek között a következőket:
Ezen túlmenően a rosszindulatú alkalmazás rendelkezik azzal a képességgel, hogy hangfelvételeket rögzítsen, fényképeket készítsen, valamint képernyőképeket is készítsen az érintett készüléken.
A Google képviselője, Ed Fernandez megerősítette, hogy az érintett alkalmazásokat eltávolították a Play áruházból, és a hozzájuk tartozó Firebase projekteket is deaktiválták. Ez a lépés lényegében a Google egyik legnépszerűbb fejlesztői platformját érinti.
A vállalat tájékoztatása alapján a Google Play folyamatosan biztosít védelmet az Android felhasználók számára, automatikusan kiszűrve a kártevők ismert verzióit.
A Lookout szakértői úgy vélik, hogy bár nem tudják pontosan, kik lehettek a támadók célpontjai, meggyőződésük, hogy egy rendkívül precíziós kampányról van szó. Ez a támadás valószínűleg olyan személyeket érintett, akik dél-koreai, angol vagy koreai nyelven kommunikálnak. Ezt a következtetést az alkalmazások elnevezései, valamint a kétnyelvű felhasználói felület is megerősíti.
A kutatók felfedezték, hogy a kémkedésre alkalmas szoftverek olyan domain neveket és IP-címeket alkalmaztak, melyeket már korábban az észak-koreai kormányzati hackerek, az APT37 és APT43 csoportok által használt rosszindulatú programokban azonosítottak.
Észak-Koreához kapcsolódó hackercsoportok nemrégiben feltűntek a hírekben, miután sikerült betörniük a Bybit kriptotőzsde egyik tárcájába, és ezzel körülbelül 1,4 milliárd dollár értékű Ethereumot loptak el. Ez az incidens komoly ingadozásokat idézett elő a kriptovaluták piacán, aggodalmat keltve a befektetők körében.
