El actor de amenazas conocido como Transparent Tribe ha continuado liberando aplicaciones Android cargadas de malware como parte de una campaña de ingeniería social dirigida a personas de interés.
"Estos APKs continúan la tendencia del grupo de incrustar spyware en aplicaciones de navegación de vídeo curadas, con una nueva expansión dirigida a los jugadores móviles, entusiastas de las armas, y los fans de TikTok", dijo el investigador de seguridad SentinelOne Alex Delamotte en un nuevo informe compartido con The Hacker News.
La campaña, apodada CapraTube, fue descrita por primera vez por la empresa de ciberseguridad en septiembre de 2023, con el equipo de piratas informáticos empleando aplicaciones de Android convertidas en armas que se hacían pasar por aplicaciones legítimas como YouTube para distribuir un software espía llamado CapraRAT, una versión modificada de AndroRAT con capacidad para capturar una amplia gama de datos confidenciales.
Transparent Tribe, presuntamente de origen pakistaní, ha utilizado CapraRAT durante más de dos años en ataques dirigidos contra el Gobierno indio y personal militar. El grupo tiene un historial de ataques de spear-phishing y watering hole para distribuir diversos programas espía para Windows y Android.
"La actividad destacada en este informe muestra la continuación de esta técnica con actualizaciones de los pretextos de ingeniería social, así como esfuerzos para maximizar la compatibilidad del spyware con versiones antiguas del sistema operativo Android, al tiempo que se amplía la superficie de ataque para incluir versiones modernas de Android", explicó Delamotte.
La lista de nuevos archivos APK maliciosos identificados por SentinelOne es la siguiente:
- Crazy Game (com.maeps.crygms.tktols)
- Sexy Videos (com.nobra.crygms.tktols)
- TikToks (com.maeps.vdosa.tktols)
- Armas (com.maeps.vdosa.tktols)
CapraRAT utiliza WebView para lanzar una URL a YouTube o a un sitio de juegos para móviles llamado CrazyGames[.]com, mientras, en segundo plano, abusa de sus permisos para acceder a ubicaciones, mensajes SMS, contactos y registros de llamadas; realizar llamadas telefónicas; hacer capturas de pantalla; o grabar audio y vídeo.
Un cambio notable en el malware es que ya no se solicitan permisos como READ_INSTALL_SESSIONS, GET_ACCOUNTS, AUTHENTICATE_ACCOUNTS y REQUEST_INSTALL_PACKAGES, lo que sugiere que los actores de la amenaza pretenden utilizarlo como una herramienta de vigilancia más que como una puerta trasera.
"Las actualizaciones del código de CapraRAT entre la campaña de septiembre de 2023 y la actual son mínimas, pero sugieren que los desarrolladores se centran en hacer la herramienta más fiable y estable", afirma Delamotte.
"La decisión de pasar a versiones más recientes del sistema operativo Android son lógicas, y probablemente se alinean con el objetivo sostenido del grupo de individuos en el gobierno indio o el espacio militar, que es poco probable que utilicen dispositivos que ejecutan versiones anteriores de Android, como Lollipop que fue lanzado hace 8 años."
Fuente: thehackernews