Известная во всем мире FinFisher, которая была разработана, как разрешенный инструмент для силовиков, возможно, активно использовалась для слежки за журналистами в различных странах мира. Более 8 лет назад программа была слита Джулианом Ассанжом, редактором WikiLeaks. После этого события она стала настоящим козырем анонимусов.
FinFisher способен к перехвату переписок в соц.сетях и отслеживанию почтовых сообщений. Более того, программу можно использовать как кейлоггер и записывать видео/аудио посредством встроенного микрофона/камеры. На просторах сети можно отыскать различные версии FinFisher для всех популярных систем. Помимо этого, за прошлые годы создали и мобильные версии вируса.
Специалисты из Лаборатории Касперского сообщили, что обнаружили обновленные вариации FinFisher, которое использовалось для заражения некоторого количества мобильников. Последний раз активность этого спайвара была зафиксирована в Мьянме.
За 6 месяцев до этого, в конце прошлого года, специалисты провели изучение новейших версий FinSpy, которые предназначаются для мобильных операционных систем iOS и Android. Они были разработаны летом прошлого года. Оказалось, что они имеют аналогичную функциональность. Более того, они могут собирать пользовательские данные.
Малвар для Android похищает данные чатов, изображения, видео и атакует множество других приложений.
На iOS, чтобы получить доступ к данным применяется фреймворк Cydia Substrate, который является имплантом и может быть установлен при помощи jailbreak. Существуют версии приложения для iPhone и iPad. Однако, неизвестно, есть ли версия на iPod.
Версия для Android обладает той же функциональностью, что есть в версии для iOS. Но она уже может заполучить права суперпользователя даже на том устройстве, которое не имеет рут прав. После успешной установки малвар пытается заполучить права рут, при помощи модулей SuperSU и Magisk.
Специалисты сообщают, что функционал малвара для Android не изменится. Разнообразие доступных настроек позволит провести адаптацию поведения импланта для разных жертв.
Версия для Android можно установить ручным способом, при условии, что злоумышленник получит доступ к устройству.
Версии FinSpy контролируются посредством терминала FinSpy Agent. По дефолту при активации имплантыподключают к анонимным прокси FinSpy, которые предоставляются Gamma Group. Это нужно для того, чтобы скрыть реальную геолокацию FinSpy Master. Сразу после того, как зараженная система появляется в сети, она посылает сигнал на сервер FinSpy Relay. Прокси-сервер нужен для обеспечения связи между целями и основным сервером. Основной сервер FinSpy Master производит управление всеми целями и хранит собранные данные.
Эти импланты уже применялись в 20 странах мира. Однако, если учесть размер базы клиентов GammaGroup, то реальное количество жертв значительно больше, как и число стран.
