builderall


Se ha encontrado una nueva versión del spyware para Android 'Mandrake' en cinco aplicaciones descargadas 32.000 veces desde Google Play, la tienda oficial de aplicaciones de la plataforma.


Bitdefender documentó por primera vez Mandrake en 2020, los investigadores destacaron las sofisticadas capacidades de espionaje del malware y señalaron que ha operado en la naturaleza desde al menos 2016.


Kaspersky informa ahora de que una nueva variante de Mandrake que presenta una mejor ofuscación y evasión se coló en Google Play a través de cinco aplicaciones enviadas a la tienda en 2022.


Esas apps permanecieron disponibles durante al menos un año, mientras que la última, AirFS, que fue la más exitosa en términos de popularidad e infecciones, fue retirada a finales de marzo de 2024.


AirFS en Google Play

Fuente: Kaspersky


Kaspersky identificó las cinco aplicaciones portadoras de Mandrake de la siguiente manera:



La empresa de ciberseguridad afirma que la mayoría de las descargas proceden de Canadá, Alemania, Italia, México, España, Perú y Reino Unido.


Cuatro aplicaciones que dejan caer el malware Mandrake en el dispositivo de la víctima

Fuente: Kaspersky


Evadir la detección

A diferencia del típico malware para Android, que coloca la lógica maliciosa en el archivo DEX de la aplicación, Mandrake oculta su fase inicial en una biblioteca nativa, 'libopencv_dnn.so', que está fuertemente ofuscada mediante OLLVM.


Tras la instalación de la aplicación maliciosa, la biblioteca exporta funciones para descifrar el cargador DEX de la segunda etapa desde su carpeta de activos y cargarlo en la memoria.


La segunda etapa solicita permisos para dibujar superposiciones y carga una segunda biblioteca nativa, 'libopencv_java3.so', que descifra un certificado para comunicaciones seguras con el servidor de mando y control (C2).


Una vez establecida la comunicación con el C2, la aplicación envía un perfil de dispositivo y recibe el componente central de Mandrake (tercera etapa) si lo considera adecuado.


Una vez activado el componente central, el spyware Mandrake puede llevar a cabo una amplia gama de actividades maliciosas, como la recopilación de datos, la grabación y monitorización de pantallas, la ejecución de comandos, la simulación de toques y deslizamientos del usuario, la gestión de archivos y la instalación de aplicaciones.


En particular, los actores de la amenaza pueden incitar a los usuarios a instalar más APKs maliciosos mostrando notificaciones que imitan a Google Play, con la esperanza de engañar a los usuarios para que instalen archivos no seguros a través de un proceso aparentemente fiable.


Kaspersky dice que el malware también utiliza el método de instalación basado en sesiones para eludir las restricciones de Android 13 (y posteriores) sobre la instalación de APKs de fuentes no oficiales.


Al igual que otros programas maliciosos para Android, Mandrake puede pedir permiso al usuario para ejecutarse en segundo plano y ocultar el icono de la aplicación en el dispositivo de la víctima, operando de forma sigilosa.


La última versión del malware también presenta evasión de bateador, ahora comprobando específicamente la presencia de Frida, un conjunto de herramientas de instrumentación dinámica popular entre los analistas de seguridad.


También comprueba el estado root del dispositivo, busca binarios específicos asociados a él, verifica si la partición del sistema está montada como sólo lectura y comprueba si los ajustes de desarrollo y ADB están activados en el dispositivo.


La amenaza de Mandrake sigue viva, y aunque las cinco aplicaciones identificadas como droppers por Kaspersky ya no están disponibles en Google Play, el malware podría regresar a través de nuevas aplicaciones más difíciles de detectar.


Se recomienda a los usuarios de Android que sólo instalen aplicaciones de editores fiables, que comprueben los comentarios de los usuarios antes de instalarlas, que eviten conceder permisos peligrosos que no parezcan estar relacionados con la función de la aplicación y que se aseguren de que Play Protect esté siempre activo.


Google compartió la siguiente declaración sobre las aplicaciones maliciosas encontradas en Google Play.


«Google Play Protect mejora continuamente con cada aplicación identificada. Siempre estamos mejorando sus capacidades, incluyendo la próxima detección de amenazas en vivo para ayudar a combatir las técnicas de ofuscación y anti-evasión», dijo Google.


«Los usuarios de Android están protegidos automáticamente contra las versiones conocidas de este malware por Google Play Protect, que está activado por defecto en los dispositivos Android con Google Play Services. Google Play Protect puede advertir a los usuarios o bloquear apps conocidas por mostrar un comportamiento malicioso, incluso cuando esas apps provienen de fuentes externas a Play.»


Fuente: bleepingcomputer