A Trend Micro descobriu o software, juntamente com código de exploração e instruções, no acervo de dados divulgados na Internet.
Os dados desviados da Hacking Team continuam a revelar informações sobre as técnicas de infiltração da empresa. A última descoberta é uma aplicação móvel falsa, de notícias, para sistema operativo Android, usada para instalar a ferramenta de vigilância da empresa Remote Control System (RCS).
A app chama-se BeNews, o mesmo nome de um site de notícias há muito fechada, escreve Wish Wu, engenheiro de resposta a ameaças em ambientes de mobilidade, no blogue da Trend Micro.
Dentro da aplicação, há uma porta de entrada dissimulada (“backdoor”), a qual parece ter sido usada para carregar a versão Android do RCS, também conhecida como Galileo. É um instrumento de recolha de dados vendido pela empresa a autoridades e agências de segurança à escala mundial.
Esse componente malicioso aproveita uma vulnerabilidade de elevação de privilégios local, a CVE-2014-3153, diz Wu. É eficaz nas versões não corrigidas de Android Froyo 2.2, a partir da KitKat 4.4.4.
“Acreditamos que a Hacking Team fornecia a app aos clientes para ser usada como isco de download de malware RCSAndroid, no dispositivo Android do alvo” ou pessoa a ser vigiada, escreve Wu.
Depois de passar a verificação, a BeNews usa o mecanismo de carregamento dinâmico para descarregar e executar a componente nociva, após a pessoa ter instalado a app.
A Google rastreia a sua loja de apps, Play Store, à procura de aplicações potencialmente nocivas, mas parece que a Hacking Team terá desenvolvido um método para a BeNews não ser classificada como tal, mesmo depois de ter sido carregada para o site.
As aplicações para Android pedem permissão para determinadas actividades. A BeNews pede inicialmente autorização para três acções benignas, a fim de evitar o bloqueio da Google.
Também não há qualquer código de exploração de vulnerabilidades incluído na app, segundo a Trend Micro. Depois de passar a verificação, usa o mecanismo de carregamento dinâmico para descarregar e executar a componente malicioso, após a pessoa ter instalado a app.