攻击者与ISP内部人士勾结在Android和iOS上散布Hermit间谍软件

时间：2022-07-09

根据Google威胁分析小组（TAG）公布的研究，一个复杂的间谍软件活动正在得到互联网服务提供商（ISP）内部人士的暗中帮助以欺骗用户下载恶意的应用程序。这证实了安全研究组织Lookout早些时候的发现，该组织将这种被称为Hermit的间谍软件与意大利间谍软件供应商RCS实验室联系起来。

pasted_image_0_11_cozugbj.max-1000x1000.png Screenshot_2022-06-22_11.10.41_PM.max-1000x1000.png

一个被攻击和篡改的网站案例

Lookout称，RCS实验室与NSO集团 - 也就是PegASUS间谍软件背后臭名昭著的监控雇佣公司是同一家公司，他们向各国各级政府机构兜售商业间谍软件。Lookout的研究人员认为Hermit已经被哈萨克斯坦政府和意大利当局部署。根据这些发现，Google已经确定了这两个国家的受害者，并表示它将通知受影响的用户。

正如Lookout的报告中所描述的，Hermit是一个模块化的威胁，可以从一个指挥和控制（C2）服务器上下载额外的功能。这使得间谍软件能够访问受害者设备上的通话记录、位置、照片和短信。Hermit还能录制音频，拨打和拦截电话，以及root到Android设备，这使它能够完全控制其核心操作系统。

"含有Hermit的应用程序从未通过Google Play或苹果应用商店提供"

这种间谍软件可以通过将自己伪装成合法来源来感染Android和苹果iPhone手机，通常以移动运营商或消息应用程序的形式出现。Google的网络安全研究人员发现，一些攻击者实际上与互联网服务提供商合作，关闭受害者的移动数据，以推进其计划。然后，不良行为者会通过短信冒充受害者的移动运营商，欺骗用户相信下载一个恶意的应用程序将恢复他们的互联网连接。如果攻击者无法与互联网服务供应商合作，Google说他们会冒充看似真实的消息应用程序，欺骗用户下载。

Lookout和TAG的研究人员说，含有Hermit的应用程序从始至终从未通过Google Play或苹果应用商店提供。然而，攻击者却能够通过注册苹果公司的开发者企业计划，在iOS上分发受感染的应用程序。这使得不怀好意者可以绕过App Store的标准审查程序，获得"满足任何iOS设备上所有iOS代码签名要求"的证书。

苹果公司表示，他们已经注意到并撤销了与该威胁有关的任何账户或证书。除了通知受影响的用户，Google还向所有用户推送了Google Play Protect更新。

阅读安全报告全文：

https://blog.google/threat-analysis-group/italian-spyware-vendor-targets-users-in-italy-and-kazakhstan/

（举报）