Het beveiligingsbedrijf CrowdStrike heeft malware in een Oekraïense Android-applicatie ontdekt. Het schrijft de malware toe aan een hackergroep die banden zou hebben met het Russische leger. De hackers hebben een legitieme app voor het richten van artillerie geïnjecteerd met malware.
CrowdStrike refereert naar de groep onder de naam 'fancy bear', die het ook in verband bracht met de hacks op de Amerikaanse Democratische partij. Deze zou tussen 2014 en 2016 de X-Agent-malware hebben gebruikt om Oekraïense artillerieposities te identificeren. Fancy bear is tot nu toe de enige groepering die van deze malwarevariant gebruikmaakt. Deze was aanwezig in een applicatie genaamd 'Попр-Д30.apk', die een officier van het Oekraïense leger oorspronkelijk ontwikkelde.
Met de legitieme applicatie is het mogelijk om de tijd die nodig is voor het richten van bepaalde oude artilleriemodellen terug te brengen van minuten naar seconden. Het beveiligingsbedrijf zegt niet wat de app precies doet, maar het lijkt om een soort rekenhulp te gaan. CrowdStrike schrijft dat de applicatie ongeveer negenduizend gebruikers heeft en werd verspreid op Oekraïense militaire fora. Door de legitieme versie te voorzien van de X-Agent-malware was het voor de fancy bear-groep mogelijk om de artillerieposities nader te bepalen. CrowdStrike schrijft dat het dit een 'mogelijkheid acht'. De kwaadaardige versie van de app werd niet verspreid via de Play Store van Google, waarschijnlijk gebeurde dit eveneens via fora.
Uit openbare informatie zou op te maken zijn dat Oekraïense strijdkrachten in een periode van twee jaar ongeveer vijftig procent van hun wapens zijn kwijtgeraakt. Daarbij verloren zij 80 procent van de artilleriemodellen die in verband staan met de app. Dit percentage ligt hoger dan dat van elk ander model, aldus CrowdStrike. De bevindingen van het bedrijf zouden de eerdere conclusie ondersteunen dat de fancy bear-groepering banden heeft met het Russische leger.