Chinezen spioneren via valse Signal en Telegram

Cyberbeveiliger Eset waarschuwt voor Chinese spionage-apps die zich vermommen als de versleutelde messaging-apps Signal en Telegram. Beide Android-apps, genaamd Signal Plus Messenger en FlyGram, zijn inmiddels verwijderd van Google Play. De aanvallers kunnen de Signal-communicatie van een slachtoffer 'afluisteren' door diens gecompromitteerde apparaat in het geheim automatisch te koppelen aan hun eigen Signal-apparaten.

Eset heeft de stellige indruk dat Chinese staatshackers achter de hack zitten omdat de schadelijke code tot de BadBazaar-malwarefamilie behoort. Een aan China gelieerde hackersgroep genaamd Gref heeft deze malware eerder gebruikt om Oeigoeren te bespioneren. De groep kan uit een apparaat informatie, lijsten met contactpersonen en gesprekslogs halen zonder dat de gebruikers iets merken.

Na het opstarten van de app moet de gebruiker inloggen bij Signal Plus Messenger via de legitieme Signal-functionaliteit, net als bij de officiële Signal-app voor Android. Eenmaal ingelogd begint Signal Plus Messenger te communiceren met zijn command and control (c&c)-server. Signal Plus Messenger kan Signal-berichten bespioneren door misbruik te maken van de functie ‘apparaat koppelen’. Het doet dit door automatisch het gecompromitteerde apparaat te verbinden met het Signal-apparaat van de aanvaller.

Uniek

Deze spionagemethode is uniek, aldus Eset. Onderzoekers hebben nog niet eerder gezien dat deze functionaliteit werd misbruikt door andere malware en dit is de enige methode waarmee de aanvaller de inhoud van Signal-berichten kan verkrijgen. Eset meldt detecties van de malware uit een groot aantal landen, waaronder Nederland.

Bij de valse Telegram-app FlyGram moet het slachtoffer inloggen via de legitieme Telegram-functionaliteit, zoals is vereist door de officiële Telegram-app. Voordat het inloggen is voltooid, begint FlyGram te communiceren met de c&c-server en krijgt BadBazaar de mogelijkheid gevoelige informatie van het apparaat te exfiltreren.