Cyberthreat.id – Perusahaan keamanan siber asal China, Qihoo 360, menemukan adanya aplikasi Android yang mengandung spyware.

Aplikasi tersebut menyamar sebagai aplikasi sosial, seperti Threema, Al-Aqsa Radio, Al-Aqsa Mosque, Jerussalem Guide, PDF viewer, Wire, dan aplikasi lain.

“Aplikasi yang paling sering disalahgunakan ialah aplikasi yang berpura-pura sebagai Threema, aplikasi pesan instan terenkripsi end-to-end,” tutur Qihoo 360, dikutip dari BleepingComputer, diakses Kamis (28 Oktober 2021).

Peneliti Qihoo 360 meyakini vektor awal untuk aplikasi ini adalah unggahan Facebook atau pesan WhatsApp yang mengarahkan korban ke situs web yang menghosting APK dan menawarkannya untuk diunduh.

Dalam beberapa kasus, pesan yang disebarkan itu berisi tautan Google Drive ke dokumen PDF rahasia “yang dianggap penting”.

---

Aplikasi-aplikasi Android yang ditemukan mengandung spyware yang disebarkan untuk pengguna Israel.

---

Target kemudian didesak untuk mengunduh APK yang berpura-pura menjadi versi seluler dari Adobe Reader, tetapi sebenarnya adalah spyware.

Menurut analisis peneliti dari berbagai sampel, penyerang menggunakan berbagai macam malware yang berbeda untuk tiap serangan, seperti SpyNote, Mobihok, WH-RAT, dan 888RAT.

Semuanya adalah spyware komersial dengan fungsionalitas, di antaranya:

• eksfiltrasi file
• rekaman panggilan
• pelacakan lokasi
• pencatatan kunci
• pengambilan foto dan video
• rekaman waktu nyata
• manajemen papan klip (clipboard)
• phishing
• eksekusi perintah shell

Dalam lebih sedikit kasus, “Metasploit” dan “EsecretRAT” juga ditemukan di APK.

EsecretRAT didasarkan pada ChatApp dan merupakan alat spyware baru yang mampu mengekstrak daftar kontak, SMS, IMEI, info lokasi, alamat IP, dan semua foto yang disimpan di perangkat.

Qihoo 360 menduga kuat “APT-C-23”, sebuah kelompok yang didukung Hamas, berada di balik serangan tersebut dan telah berulang kali dikaitkan dengan kampanye penargetan orang Israel di masa lalu.

Pada Oktober 2020, mereka ditemukan karena menggunakan spyware Android yang disamarkan sebagai Threema dan Telegram terhadap perangkat di Israel.

Beberapa bulan sebelumnya, mereka memancing tentara Israel melalui aplikasi spyware khusus yang dibuat untuk tampil sebagai aplikasi kencan yang sah.

Atribusi kepada kelompok tersebut mungkin, tidak begitu kuat,tapi terdapat kesamaan dengan kampanye APT-C-23 sebelumnya sangat kuat, kata peneliti.[]