Il RAT attivo almeno dal 2015 era utilizzato in attacchi mirati contro i servizi militari indiani

GravityRAT aggiunge Android alla lista degli obiettivi
Tempo di lettura: 3 minuti

GravityRAT è un Remote Access Trojan (RAT) utilizzato in attacchi mirati contro i servizi militari indiani. Secondo i dati raccolti da Kaspersky, la campagna è attiva almeno dal 2015 e si concentra principalmente sui sistemi operativi Windows. Tuttavia, da circa due anni, il gruppo criminale ha aggiunto Android alla lista degli obiettivi.

Un’ulteriore prova di questo cambiamento è rappresentata proprio dal modulo identificato, che non presenta le caratteristiche tipiche di uno spyware per Android. Ad esempio, per condurre un’attività malevole deve essere selezionata un’applicazione specifica e il codice dannoso, come spesso accade, non si basava sul codice di applicazioni spyware precedentemente conosciute. Questo ha spinto i ricercatori di Kaspersky a confrontare il modulo individuato con le famiglie APT già note.

L’analisi degli indirizzi di comando e controllo (C&C) utilizzati ha permesso di scoprire ulteriori moduli dannosi, riconducibili anche all’autore di GravityRAT. Complessivamente, sono state individuate più di 10 versioni di GravityRAT, distribuite sfruttando il nome di applicazioni legittime come le applicazioni di file sharing sicure che contribuiscono a proteggere i dispositivi degli utenti dalla crittografia dei trojan, o dei media player. Questi moduli, utilizzati insieme, hanno permesso al gruppo di penetrare nei sistemi operativi Windows, Mac OS e Android.

L’elenco delle funzioni abilitate, nella maggior parte dei casi, era standard e tipico di uno spyware. I moduli erano in grado di recuperare i dati del dispositivo, le liste dei contatti, gli indirizzi e-mail, i registri delle chiamate e i messaggi SMS. Alcuni trojan cercavano inoltre file con estensione .jpg, .jpeg, .log, .png, .txt, .pdf, .xml, .doc, .xls, .xlsx, .ppt, .pptx, .docx e .opus nella memoria del dispositivo per inviarli anche al server di comando e controllo (C&C).

“Secondo le nostre indagini, l’autore di GravityRAT continua a investire nelle sue capacità di spionaggio. Le modalità di occultamente e l’ampliamento del portfolio OS indicano che possiamo aspettarci un maggior numero di incidenti condotti tramite questo malware nella regione APAC (Asia Pacifica). Questo indica anche che i criminali non si limitano solo a sviluppare nuovi malware ma sviluppano quelli già collaudati nel tentativo di aumentare le probabilità di successo”, ha affermato Tatyana Shishkova, security expert di Kaspersky.

Per proteggersi dalle minacce spyware, Kaspersky raccomanda di adottare le seguenti misure di sicurezza:

  • Fornire al team SOC (Security Operation Center) l’accesso alla threat intelligence (TI) più aggiornata. Kaspersky Threat Intelligence Portal è un unico punto di accesso per la TI dell’azienda, e fornisce dati sugli attacchi informatici e informazioni raccolte da Kaspersky in 20 anni di esperienza sul campo.
  • Implementare soluzioni EDR affidabili, come Kaspersky Endpoint Detection and Response, per il rilevamento a livello di endpoint, l’indagine e il tempestivo ripristino dagli incidenti.
  • Utilizzare una soluzione di sicurezza degli endpoint con un controllo delle applicazioni mobili per proteggere i dispositivi aziendali, compresi quelli Android, dalle applicazioni dannose. Questa soluzione garantisce che solo le applicazioni legittime di una whitelist approvata possano essere installate su dispositivi che hanno accesso a dati aziendali sensibili.

Per ulteriori dettagli sui nuovi exploit come GravityRAT, è possibile leggere il report completo su Securelist.