Google alerta que provedores de web ajudaram a distribuir adware Hermit

O Google está alertando sobre uma nova e sofisticada campanha de adware que viu agentes maliciosos roubarem dados confidenciais de usuários de Android e iOS na Itália e no Cazaquistão. Na quinta-feira, o Grupo de Análise de Ameaças (TAG) da empresa compartilhado suas descobertas no RCS Labs, um fornecedor comercial de adware com sede na Itália.

No dia 16 de junho, pesquisadores de segurança da vinculou a empresa ao Hermit, um programa de adware que se acredita ter sido implantado pela primeira vez em 2019 pelas autoridades italianas como parte de uma operação anticorrupção. A Lookout descreve o RCS Labs como uma entidade semelhante ao NSO Staff. A empresa se comercializa como um negócio de “interceptação felony” e afirma que só trabalha com agências governamentais. No entanto, os fornecedores de spywares comerciais têm estado sob intenso escrutínio nos últimos anos, em grande parte graças aos governos que usam o adware Pegasus para .

De acordo com o Google, o Hermit pode infectar dispositivos Android e iOS. Em alguns casos, os pesquisadores da empresa observaram que atores mal-intencionados trabalham com o provedor de serviços de Web de seu alvo para desabilitar sua conexão de dados. Eles então enviariam ao alvo uma mensagem SMS com um urged para baixar o device vinculado para restaurar sua conexão com a Web. Se isso não fosse uma opção, os maus atores tentaram disfarçar o adware como um aplicativo de mensagens legítimo como WhatsApp ou Instagram.

O que torna o Hermit particularmente perigoso é que ele pode obter recursos adicionais baixando módulos de um servidor de comando e controle. Alguns dos complementos observados pela Lookout permitiam que o programa roubasse dados dos aplicativos de schedule e catálogo de endereços do alvo, além de tirar fotos com a câmera do telefone. Um módulo até deu ao adware a capacidade de fazer root em um dispositivo Android.

O Google acredita que o Hermit nunca chegou às lojas Play ou App. No entanto, a empresa encontrou evidências de que atores mal-intencionados foram capazes de distribuir o adware no iOS inscrevendo-se no programa da Apple. . Apple disse que desde então bloqueou todas as contas ou certificados associados à ameaça. Enquanto isso, o Google notificou os usuários afetados e lançou uma atualização para o Google Play Give protection to.

A empresa termina seu submit observando que o crescimento da indústria de adware comercial deve preocupar a todos. “Esses fornecedores estão permitindo a proliferação de ferramentas de hackers perigosas e armando governos que não seriam capazes de desenvolver esses recursos internamente”, disse a empresa. “Embora o uso de tecnologias de vigilância possa ser felony sob leis nacionais ou internacionais, elas são frequentemente usadas por governos para fins antitéticos aos valores democráticos: visando dissidentes, jornalistas, trabalhadores de direitos humanos e políticos de partidos da oposição.”