Starry Addax: правозащитники в Северной Африке стали жертвами пресс-службы Сахары

Специалисты компании Cisco Talos сообщают, что правозащитники в Марокко и регионе Западной Сахары стали целью новой фишинговой кампании, нацеленной на кражу личных данных. Кластер киберпрестуников получил название Starry Addax. Основными целями атак являются активисты, ассоциируемые с Сахарской Арабской Демократической Республикой (САДР).

Инфраструктура Starry Addax нацелена на пользователей Android и Windows. Особенностями кампании являются фишинговые письма, призывающие жертв установить мобильное приложение пресс-службы Сахары (Sahara Press Service) или другие приманки, связанные с регионом. В зависимости от операционной системы жертвы ей предлагается загрузить вредоносный APK или перейти на поддельную страницу входа в социальные сети.

В рамках кампании используется новый вирус для Android под названием FlexStarling, который может похищать чувствительную информацию и загружать дополнительные вредоносные компоненты. После установки вирус запрашивает у жертвы много разрешений, что позволяет программе выполнять вредоносные действия, включая получение команд от C2-сервера.

Компания Talos подчеркивает, что подобные кампании обычно предназначены для длительного скрытого присутствия в устройстве. Вся инфраструктура, от вредоносного ПО до C2-серверов, разработана специально для этой кампании, что указывает на стремление злоумышленников действовать незаметно.

Таймлайн кампании

Starry Addax, создав свой арсенал инструментов и инфраструктуру для атак на активистов, отказывается от использования коммерчески доступного шпионского ПО. Кампания все еще находится на ранних этапах, однако инфраструктура и вредоносное ПО FlexStarling считаются готовыми для начала целенаправленных атак на активистов в Северной Африке. Создание точек передачи данных, C2-серверов и разработка вредоносного ПО с начала января 2024 года указывает на быстрое развитие инфраструктуры Starry Addax для атак на лиц, представляющих высокую ценность.