卡巴斯基：竊取中國新冠情報的越南APT組織繞過了Google Play
責編：gltian ｜2020-04-30 17:00:54據卡巴斯基稱，一個正在進行的，為期數年的，針對東南亞個人的網絡間諜活動——PhantomLance的數百次惡意軟件攻擊都成功繞過了Google Play過濾器。
根據卡巴斯基的監測，PhantomLance行動至少從2015年開始活躍，幕后操縱者是越南政府支持的APT小組OceanLotus（aka APT32）。
據Fireeye 4月22日發布的報告（https://www.fireeye.com/blog/threat-research/2020/04/apt32-targeting-chinese-government-in-covid-19-related-espionage.html）顯示，該APT小組最近針對武漢省政府和中國應急管理部展開持續入侵活動（釣魚電子郵件，上圖），以竊取與COVID-19的起源有關的更多信息。
而卡巴斯基的報告尤其值得有關網絡安全部門人員高度重視：釣魚郵件也許只是APT32攻擊矢量的冰山一角，APT32的間諜軟件已經成功突破了包括Google Play在內的多個平臺的安全審核機制。
卡巴斯基指出，PhantomLance具有多種間諜軟件版本，其復雜程度各不相同，旨在竊取地理位置，呼叫日志，聯系人訪問，應用程序列表和SMS訪問等信息，以及下載其他惡意負載。
它們被分發到包括Google Play和APKpure在內的多個平臺上，小組成員竭盡全力掩蓋蹤跡，包括在GitHub上創建虛假的開發者資料以及其他策略。
在Google Play上架的，偽裝成瀏覽器清理工具的間諜軟件
卡巴斯基解釋說：
上載到應用程序市場的應用程序的初始版本不包含任何惡意有效負載或用于刪除有效負載的代碼。這些版本被接受是因為它們不包含任何可疑內容，但是后續版本都更新了惡意有效負載以及刪除和執行這些有效負載的代碼。我們能夠在所有示例中確認這種行為，并且能夠找到帶有和不帶有有效載荷的應用程序的兩個版本。
卡巴斯基已經在印度，越南，孟加拉國和印度尼西亞發現了大約300次Android設備感染嘗試，越南是最受攻擊的國家之一，同時也是惡意應用開發的地點。
根據卡巴斯基的說法，PhantomLance的有效負載至少與Android Ocean的OceanLotus活動中的有效負載相似，并且與APT小組的Windows和MacOS惡意軟件重疊。
這個攻擊活動是一個特別典型的例子，說明了高級威脅參與者如何進一步進入更深的海域并且越來越難被發現?？ò退够踩芯繂TAlexey Firsh指出，PhantomLance活動已經開展了五年多了，威脅參與者使用先進的技術成功地多次繞過了應用商店的過濾器。
我們還可以看到，使用移動平臺作為主要感染點正變得越來越流行，這一領域越來越多的參與者在競速發展，事態發展凸顯了持續改進威脅情報和支持服務的重要性，這可以幫助跟蹤威脅參與者并發現各種攻擊活動的關聯。
參考資料：
https://www.fireeye.com/blog/threat-research/2020/04/apt32-targeting-chinese-government-in-covid-19-related-espionage.html