Az APT csoport Arid Viper az arabul beszélő Android felhasználókat célozza meg a hamis verzió egy társkereső alkalmazás érzékeny felhasználói adatok gyűjtésére.

A Cisco Talos kutatása szerint a csoport lemásolja a Skipped nevű társkereső alkalmazást egy rosszindulatú verzióval, hasonló névvel, amely letölthető a Google Play Áruház.

A letöltést követően az üzemeltetők rosszindulatú hivatkozásokat osztanak meg, frissítéseknek álcázva a felhasználót, hogy egy oktatóvideóhoz juttassák el a felhasználót. A videó leírásában található URL egy támadó által vezérelt domainre irányítja a felhasználókat, amely az egyéni rosszindulatú programot szolgálja ki.

A YouTube-fiók 2022 márciusában jött létre, és csak egy videót töltött fel, amelyet a közzététel időpontjában körülbelül 50-en néztek meg. kutatás. A vállalat megállapította, hogy a támadók által ebben a kampányban használt összes domaint kizárólag az Arid Viper regisztrálja, üzemelteti és ellenőrzi, és ugyanazokat az elnevezési mintákat követik, amelyeket az Arid Viper infrastruktúra korábbi iterációiban is megfigyeltek.

A kártevő letilthatja a biztonsági értesítéseket, összegyűjtheti a felhasználók érzékeny adatait, és további rosszindulatú alkalmazásokat telepíthet a feltört eszközökön. A kutatók megállapították, hogy a rosszindulatú programok kampánya legalább 2022 áprilisa óta aktív.