En mai 2018, nous avons découvert une campagne ciblant des dizaines d'appareils mobiles Android appartenant à des citoyens israéliens. Les capteurs de logiciels espions de Kaspersky ont capté le signal d'une attaque provenant de l'appareil de l'une des victimes ; et un hachage de l'APK concerné (application Android) a été signalé dans notre flux d'échantillons pour inspection. Une fois que nous avons examiné le fichier, nous avons rapidement découvert que le fonctionnement interne de l'APK comportait une charge utile malveillante, intégrée dans le code original de l'application. Il s'agissait d'un programme espion original, conçu pour exfiltrer la quasi-totalité des informations accessibles. Au cours de nos recherches, nous avons remarqué que nous n'étions pas les seuls à avoir découvert l'opération. Des chercheurs de Bitdefender ont également publié une analyse de l'un des échantillons dans un article de blog. Bien que quelque chose ait déjà été publié, nous avons décidé de faire quelque chose de différent avec les données que nous avions acquises. Le mois suivant, nous avons publié un rapport privé sur notre Threat Intelligence Portal afin d'alerter nos clients de cette opération nouvellement découverte et avons commencé à écrire des règles YARA pour capturer davantage d'échantillons. Nous avons décidé d'appeler l'opération « ViceLeaker », en raison de chaînes et de variables présentes dans son code.
Références
Métadonnées de l'acteur importées depuis Malpedia (Fraunhofer FKIE).