Descubren un malware Android que se disfraza de actualizaci車n del SO
Cuidado al actualizar el m車vil, porque puede ser que actives en su lugar un nuevo tipo de malware descubierto.
Si en el mundo de la droga los narcotraficantes tienen que usar m谷todos m芍s y m芍s novedosos para poder cruzar fronteras con su mercanc赤a ilegal, en el mundo del cibercrimen los hackers tienen que hacer lo mismo para sortear los mecanismos de defensa y seguridad de las tiendas de apps, sistemas operativos, etc.
Pero en Zimperium zLabs han descubierto uno de esos malware que da miedo, porque puede disfrazarse de actualizaci車n del sistema operativo.
Un malware disfrazado de update del SO
Investigadores de Zimperium zLabs han descubierto una nueva aplicaci車n ※inteligente y maliciosa para Android§, un malware capaz de adoptar la forma de una aplicaci車n de actualizaci車n del sistema para robar datos, im芍genes, mensajes y usurpar el control de tel谷fonos Android completos.
Los investigadores de zLabs descubrieron esta supuesta aplicaci車n de actualizaci車n del sistema despu谷s de detectar una aplicaci車n marcada por el motor de malware z9, que es el encargado de la detecci車n en el dispositivo de zIPS. Una investigaci車n demostr車 que esta actividad se remonta a una campa?a de spyware avanzado, y los investigadores corroboraron con Google que dicha app nunca hab赤a existido ni estaba previsto su lanzamiento en Google Play.
Capaz de ocultarse en tu dispositivo
Una vez que ha atacado e invadido tu dispositivo, este malware y los atacantes que est芍n detr芍s de 谷l pueden llevar a cabo acciones como:
- Robar mensajes de los sistemas de mensajer赤a instant芍nea (WhatsApp, Messenger, Telegram) y de sus archivos de base de datos
- Examinar los marcadores y b迆squedas por defecto de los navegadores
- Inspeccionar el historial de marcadores y b迆squedas de los navegadores de Internet Google Chrome, Mozilla Firefox y Samsung
- Buscar archivos con las extensiones espec赤ficas . doc, .docx, .pdf, .xls y .xlsx
- Examinar los datos del portapapeles y el contenido de las notificaciones
- Tener el control de la c芍mara del m車vil y hacer fotos peri車dicas a trav谷s de la c芍mara frontal o trasera
- Ver las aplicaciones instaladas
- Robar im芍genes y v赤deos
- Monitorizar a trav谷s del GPS
- Robar los contactos del tel谷fono y los mensajes SMS as赤 como los registros de llamadas
- Exfiltrar informaci車n del dispositivo, como el nombre del mismo y los datos de almacenamiento.
El malware, que puede incluso ocultarse ocultando su icono en el men迆 de los dispositivos, funciona mediante la ejecuci車n de Firebase Command and Control (C&C) tras su instalaci車n desde una tienda de aplicaciones de terceros que no es de Google, bajo los nombres de "update" y "refreshAllData". Para aumentar su sensaci車n de legitimidad, la aplicaci車n contiene informaci車n sobre caracter赤sticas como:
- La presencia de WhatsApp
- El porcentaje de bater赤a
- Las estad赤sticas de almacenamiento
- El tipo de conexi車n a Internet
- El token del servicio de mensajer赤a Firebase
Una vez que el usuario selecciona "actualizar" la informaci車n existente, la app se infiltra en el dispositivo afectado. Tras la difusi車n, el C&C recibe todos los datos relevantes, incluido el nuevo token de Firebase generado.
Se instala por terceros
Mientras la comunicaci車n de Firebase realiza los comandos necesarios, el servidor de C&C dedicado utiliza una solicitud POST para recoger los datos robados. Entre las acciones m芍s destacadas que desencadenan la exfiltraci車n por parte de la aplicaci車n se encuentran a?adir un nuevo contacto, instalar una nueva aplicaci車n a trav谷s del contentObserver de Android o recibir un nuevo SMS.
Lo 迆nico bueno de esta historia es que la aplicaci車n s車lo se puede instalar a trav谷s de terceros, y nunca por Google Play Store o la App Store, algo que refuerza el consejo de que nunca nunca instales una app que no venga de una tienda oficial.