Nově identifikovaný modul je této změny důkazem, ale zároveň se objevila řada důvodů, proč nepřipomínal typický vzorek spywaru pro Android. Například je nutné pro spuštění škodlivých funkcí vybrat konkrétní aplikaci. Škodlivý kód se zároveň nezakládá na kódu dříve známých spywarových aplikací. Proto se odborníci z Kaspersky rozhodli porovnat modul s již známými rodinami APT hrozeb.

Analýza použitých C&C adres odhalila několik dalších škodlivých modulů souvisejících s tvůrci GravityRAT. Celkem bylo objeveno více než 10 verzí GravityRAT, které se na první pohled tváří jako legitimní aplikace, jako jsou například aplikace pro bezpečné sdílení souborů (chránicí uživatelská zařízení před šifrováním trojskými koňmi) nebo přehrávače médií. Společně umožnily tyto moduly skupině proniknout do zařízení s Windows, MacOS a Android.

Výčet funkcí tohoto škodlivého softwaru byl ve většině případů standardní a pro spyware typický. Moduly jsou schopné získat data ze zařízení, seznamy kontaktů, e-mailové adresy, záznamy hovorů a SMS zprávy. Některé trojské koně také vyhledávaly soubory s příponami .jpg, .jpeg, .log, .png, .txt, .pdf, .xml, .doc, .xls, .xlsx, .ppt, .dockx a .opus.

„Naše investigace ukázala, že aktér stojící za GravityRAT neustále investuje do svých špionážních kapacit. I kvůli chytrému maskování a rozšířenému portfoliu OS, na které mohou útočit, se obáváme, že brzy v regionu APAC uvidíme další útoky tímto malwarem. Zároveň toto zjištění také podtrhává současný trend, kdy kyberzločinci nemusí nutně vyvíjet nový malware, ale vylepšovat již existující,“ komentuje Taťána Shishkova, bezpečnostní odbornice společnosti Kaspersky.