Хакеры Transparent Tribe распространяют CapraRAT через троянские приложения для обмена сообщениями

Предположительно, пакистанская хакерская группировка, известная как Transparent Tribe, была связана с продолжающейся кампанией кибершпионажа, нацеленной на индийских и пакистанских пользователей Android с помощью бэкдора под названием CapraRAT.

«Transparent Tribe распространяла Android-бэкдор CapraRAT через троянизированные приложения для обмена сообщениями под брендами MeetsApp и MeetUp», — говорится в сегодняшнем отчёте ESET.

По предварительным оценкам, жертвами стали около 150 человек. Вредоносное ПО можно было загрузить с поддельных фишинговых веб-сайтов, а само приложение по своему интерфейсу и названию определённо является своеобразной пародией на WhatsApp от компании Meta*.

Подозревается, что цели заманиваются с помощью романтической аферы-ловушки, в которой злоумышленник обращается к жертвам через другую платформу и убеждает их установить приложения с вредоносным ПО под предлогом «безопасного» обмена сообщениями и звонков.

Тем не менее, приложения, помимо обещанных функций, поставляются с имплантированным CapraRAT, модифицированной версией AndroRAT с открытым исходным кодом, которая была впервые задокументирована Trend Micro в феврале 2022 года.

Фишинговые сайты с троянским мессенджером

Бэкдор оснащен обширным набором функций, которые позволяют делать снимки экрана и фотографии, записывать телефонные звонки и окружающий звук, а также извлекать другую конфиденциальную информацию. Он также может совершать звонки, отправлять SMS-сообщения и получать команды для загрузки файлов.

При этом пользователям также необходимо создать учетную запись, связав свои номера телефонов и выполнив шаг подтверждения по SMS, чтобы получить доступ к функциям приложения.

ESET заявила, что вредоносная кампания имеет узкую направленность и не нашла доказательств того, что приложения были доступны в магазине Google Play .

Transparent Tribe, также известная как APT36, Operation C-Major и Mythic Leopard, недавно была связана с рядом других атак , направленных на правительственные организации Индии с использованием вредоносных версий решения для двухфакторной аутентификации под названием Kavach.

* Компания Meta и её продукты (Instagram и Facebook) признаны экстремистскими, их деятельность запрещена на территории РФ.