Verbreitungsweg noch unklar
Bisher ist unklar, wie Triout verbreitet wird. Marktplätze für Applikationen oder von Angreifern kontrollierte Domains werden wahrscheinlich als Verbreitungsplattformen für die Schadsoftware-Host- verwendet, wie netzpalaver.de dazu ausführte.
Die Existenz der Spyware wurde zuerst aus Russland gemeldet und die meisten Scans und Berichte dazu kamen bisher aus Israel. Das erste Sample gab es wohl am 15. Mai 2018, als es zu VirusTotal hochgeladen wurde. Triout wird von Bitdefenders maschinellen Lernalgorithmen erkannt.
Die Bitdefender Analyse
Eine Untersuchung durch Bitdefender ergab, dass die Spyware folgenden Fähigkeiten hat:
- Sie zeichnet jeden Anruf auf (buchstäblich das Gespräch als Mediendatei) und sendet ihn zusammen mit der Anruferkennung an den C&C-Server (incall3.php und outcall3.php).
- Sie protokolliert jede eingehende SMS-Nachricht, inklusive Text und Absender (script3.php).
- Sie hat die Fähigkeit, sich selbst zu verstecken.
- Sie kann alle Anrufprotokolle („content://call_log/calls“, info: callname, callnum, calldate, calltype, callduration) an den C&C (calllog.php) senden.
- Wann immer der Benutzer ein Bild aufnimmt, entweder mit der Vorder- oder Rückkamera, wird es an die C&C-Server gesendet (uppc.php, fi npic.php oderreqpic.php).
- Sie kann GPS-Koordinaten an die C&C senden (gps3.php).
