Investigadores de ciberseguridad han descubierto una serie de mods de WhatsApp para Android que vienen equipados con un módulo de spyware apodado CanesSpy.
Estas versiones modificadas de la aplicación de mensajería instantánea se han propagado a través de sitios web sospechosos que anuncian este tipo de software, así como de canales de Telegram utilizados principalmente por hablantes de árabe y azerbaiyano, uno de los cuales cuenta con 2 millones de usuarios.
"El manifiesto del cliente troyanizado contiene componentes sospechosos (un servicio y un receptor de transmisiones) que no se encuentran en el cliente original de WhatsApp", explica Dmitry Kalinin, investigador de seguridad de Kaspersky.
En concreto, las nuevas adiciones están diseñadas para activar el módulo de software espía cuando el teléfono se enciende o empieza a cargarse.
A continuación, establece contacto con un servidor de mando y control (C2) y envía información sobre el dispositivo infectado, como el IMEI, el número de teléfono, el prefijo del país y el código de la red móvil.
CanesSpy también transmite detalles sobre los contactos y cuentas de la víctima cada cinco minutos, además de esperar nuevas instrucciones del servidor C2 cada minuto, un ajuste que puede reconfigurarse.
Esto incluye el envío de archivos de almacenamiento externo (por ejemplo, tarjeta SD extraíble), contactos, grabación de sonido del micrófono, envío de datos sobre la configuración del implante y alteración de los servidores C2.
El hecho de que los mensajes enviados al servidor C2 estén todos en árabe indica que el desarrollador que está detrás de la operación habla árabe.
Un análisis más detallado de la operación muestra que el spyware ha estado activo desde mediados de agosto de 2023, y que la campaña se ha dirigido principalmente a Azerbaiyán, Arabia Saudí, Yemen, Turquía y Egipto.
Este hecho marca el abuso continuado de versiones modificadas de servicios de mensajería como Telegram y WhatsApp para distribuir malware a usuarios desprevenidos.
"Los mods de WhatsApp se distribuyen sobre todo a través de tiendas de aplicaciones para Android de terceros, que a menudo carecen de controles y no retiran el malware", explica Kalinin. "Algunos de estos recursos, como las tiendas de aplicaciones de terceros y los canales de Telegram, gozan de considerable popularidad, pero eso no es garantía de seguridad".
Fuente: thehackernews