標題：WhatsApp間諜mod通過Telegram傳播來攻擊阿拉伯語用戶

一些流行的即時通訊服務經常會缺乏某些自定義功能，為了解決這個問題，第三方開發者會開發出一些mod（修改或增強程序），來提供一些受歡迎的功能。但其中一些mod在提供增強功能的同時也會加入一些惡意軟件。去年，卡巴斯基實驗室的研究人員在WhatsApp的一個mod中發現了Triada木馬。最近，他們又發現了一個嵌入間諜mod的Telegrammod，可通過Google Play傳播。

WhatsApp現在的情況與此相同：研究人員發現幾個之前無害的mod包含一個間諜mod，他們將該mod檢測為Trojan-Spy.AndroidOS.CanesSpy。

間諜mod是如何運行的？研究人員將通過80d7f95b7231cc857b331a993184499d示例來說明間諜mod的工作過程。

木馬化的客戶端清單包含在原始WhatsApp客戶端中找不到的可疑組件(服務和廣播接收器)。廣播接收器偵聽來自系統和其他應用程序的廣播，例如手機開始充電，收到的文本消息或下載程序完成下載；當接收方收到這樣的消息時，它調用事件處理程序。在WhatsApp間諜mod中，當手機開機或開始充電時，接收方會運行一項服務，啟動間諜mod。

可疑的應用組件

該服務查看惡意軟件代碼中的Application_DM常量，以選擇受攻擊設備將繼續聯繫的命令與控制(CC)服務器。

選擇命令和控制服務器

當惡意植入啟動時，它會沿著路徑/api/v1/AllRequest向攻擊運營商的服務器發送包含設備信息的POST請求。這些信息包括IMEI、電話號碼、移動國家代碼、移動網絡代碼等。該木馬還請求配置細節，例如上傳各種類型數據的路徑、向CC請求之間的間隔等。此外，該mod每五分鐘傳送一次有關受害者聯繫人和賬戶的信息。

在設備信息成功上傳後，惡意軟件開始以預先配置的間隔(默認為一分鐘)向CC詢問指令，開發人員稱之為“命令”。下表包含惡意軟件用於向服務器發送響應的命令和路徑的詳細描述：

發送到指揮控制服務器的信息引起了研究人員的注意，它們都是阿拉伯語，這表明開發者會說阿拉伯語。

WhatsApp間諜mod的攻擊目標在發現WhatsAppmod中的間諜mod後，研究人員決定找出它們是如何傳播的。分析發現，Telegram是主要來源。研究人員發現了一些Telegram通道，主要是阿拉伯語和阿塞拜疆語，其中最受歡迎的節目就有近200萬訂閱者。研究人員提醒Telegram，這些通道被用來傳播惡意軟件。

在從每個通道下載最新版本的mod (1db5c057a441b10b915dbb14bba99e72, fe46bad0cf5329aea52f8817fa49168c, 80d7f95b7231cc857b331a993184499d)後，研究人員發現它們包含上述間諜mod，這驗證了假設。

鑑於惡意軟件組件不是原始mod的一部分，研究人員檢查了幾個最近的版本，並確定了第一個被攻擊的版本。根據調查結果，該間諜軟件自2023年8月中旬以來一直活躍。在撰寫本文時，自那時以來在通道上發布的所有版本都包含惡意軟件。然而，後來(如果根據APK中的時間戳判斷，大約在10月20日左右)，至少一個通道中的至少一個最新版本被替換為一個乾淨的版本。

受攻擊應用程序中的DEX時間戳(左)和未攻擊版本中的DEX時間戳(右)

除了Telegram渠道，受攻擊的mod還通過各種可疑的網站傳播，這些網站專門用於修改WhatsApp。

新型WhatsApp間諜軟件的攻擊範圍10月5日至31日期間，卡巴斯基安全解決方案在100多個國家發現了34萬多次由WhatsApp間諜mod發起的攻擊。不過，如果考慮到傳播渠道的性質，實際安裝數量可能會高得多。攻擊次數最多的五個國家是阿塞拜疆、沙特阿拉伯、也門、土耳其和埃及。

按發現的WhatsApp間諜mod攻擊次數排名的前20個國家

總結研究人員看到包含惡意軟件代碼的即時通訊應用mod數量有所增加。 WhatsApp的mod大多是通過第三方Android應用商店傳播的，這些應用商店往往缺乏篩選，無法清除惡意軟件，其中如第三方應用商店和Telegram通道，很受歡迎。但為避免丟失個人數據，建議只使用官方即時通訊客戶端；如果用戶需要額外的功能，建議使用一個可靠的安全解決方案，可以檢測和阻止惡意軟件，以防被mod攻擊。