Los activistas de derechos humanos en Marruecos y la región del Sahara Occidental son el objetivo de un nuevo actor de amenazas que aprovecha los ataques de phishing para engañar a las víctimas para que instalen aplicaciones Android falsas y proporcionen páginas de recolección de credenciales para usuarios de Windows.
Cisco Talos está rastreando el grupo de actividades bajo el nombre Starry Addax, describiéndolo principalmente como activistas asociados con la República Árabe Saharaui Democrática (RASD).
La infraestructura de Starry Addax (ondroid[.]site y ondroid[.]store) está diseñada para apuntar tanto a usuarios de Android como de Windows; este último involucra sitios web falsos disfrazados de páginas de inicio de sesión para sitios web de redes sociales populares.
Se sabe que el adversario, que se cree que está activo desde enero de 2024, envía correos electrónicos de phishing a sus objetivos, instando a los destinatarios a instalar la aplicación móvil de Sahara Press Service o un señuelo relevante relacionado con la región.
Dependiendo del sistema operativo desde donde se origina la solicitud, el objetivo recibe un APK malicioso que se hace pasar por Sahara Press Service o se le redirige a una página de inicio de sesión de una red social para recopilar sus credenciales.
El novedoso malware para Android, denominado FlexStarling, es versátil y está equipado para ofrecer componentes de malware adicionales y robar información confidencial de dispositivos infectados.
Una vez instalado, solicita a la víctima que le otorgue amplios permisos que le permitan al malware realizar acciones nefastas, incluida la obtención de comandos para ejecutar desde un comando y control (C2) basado en Firebase, una señal de que el actor de la amenaza está buscando volar bajo el radar.
«Las campañas como esta, dirigidas a personas de alto valor, generalmente tienen como objetivo permanecer sentados en silencio frente al dispositivo durante un período prolongado», dijo Talos.
El desarrollo se produce en medio de la aparición de un nuevo troyano de acceso remoto (RAT) comercial para Android conocido como Oxycorat que se ofrece a la venta con diversas capacidades de recopilación de información.