Se ha descubierto una versión actualizada de un troyano de acceso remoto para Android apodado GravityRAT que se hace pasar por las aplicaciones de mensajería BingeChat y Chatico como parte de una campaña dirigida desde junio de 2022.
"En la campaña recién descubierta, GravityRAT puede filtrar copias de seguridad de WhatsApp y recibir comandos para eliminar archivos", afirma Luká? ?tefanko, investigador de ESET, en un nuevo informe publicado hoy.
"Las apps maliciosas también ofrecen funcionalidades legítimas de chat basadas en la app de mensajería instantánea de código abierto OMEMO".
GravityRAT es el nombre que recibe un malware multiplataforma capaz de atacar dispositivos Windows, Android y macOS. La empresa eslovaca de ciberseguridad está siguiendo la actividad bajo el nombre de SpaceCobra.
Se sospecha que el actor de la amenaza tiene su base en Pakistán, con ataques recientes con GravityRAT dirigidos a personal militar en la India y entre las Fuerzas Aéreas de Pakistán camuflándolos como aplicaciones de almacenamiento en la nube y de entretenimiento, según reveló Meta el mes pasado.
El uso de aplicaciones de chat como señuelo para distribuir el malware ya fue destacado en noviembre de 2021 por Cyble, que analizó una muestra denominada "SoSafe Chat" que se subió a la base de datos VirusTotal desde la India.
Las aplicaciones de chat, aunque no están disponibles en Google Play, se distribuyen a través de sitios web fraudulentos que promocionan servicios de mensajería gratuitos: bingechat[.]net y chatico[.]co[.]uk.
"Este grupo utilizó personajes ficticios -haciéndose pasar por reclutadores de empresas de defensa y gobiernos, tanto legítimos como falsos, personal militar, periodistas y mujeres que buscaban establecer una relación romántica- en un intento de generar confianza con las personas a las que se dirigían", afirma Meta en su Informe trimestral sobre amenazas adversas.
El modus operandi sugiere que los objetivos potenciales son contactados en Facebook e Instagram con el objetivo de engañarlos para que hagan clic en los enlaces y descarguen las aplicaciones maliciosas.
GravityRAT, como la mayoría de las puertas traseras de Android, solicita permisos intrusivos bajo el disfraz de una aplicación aparentemente legítima para recopilar información confidencial como contactos, SMS, registros de llamadas, archivos, datos de localización y grabaciones de audio sin el conocimiento de la víctima.
En última instancia, los datos capturados se filtran a un servidor remoto bajo el control del autor de la amenaza. Vale la pena señalar que el uso de la aplicación está condicionado a tener una cuenta.
Lo que hace que la nueva versión de GravityRAT destaque es su capacidad para robar archivos de copia de seguridad de WhatsApp y recibir instrucciones del servidor de comando y control (C2) para eliminar registros de llamadas, listas de contactos y archivos con extensiones particulares.
"Se trata de comandos muy específicos que no suelen verse en el malware para Android", señaló ?tefanko.
El descubrimiento se produce cuando los usuarios de Android en Vietnam han sido víctimas de una nueva cepa de malware de robo de cuentas bancarias conocido como HelloTeacher, que utiliza aplicaciones de mensajería legítimas como Viber o Kik como tapadera para desviar datos confidenciales y realizar transferencias de fondos no autorizadas abusando de la API de servicios de accesibilidad.
Cyble también ha descubierto una estafa de minería en la nube que "pide a los usuarios que descarguen una aplicación maliciosa para empezar a minar", sólo para aprovechar sus permisos a los servicios de accesibilidad para recopilar información confidencial de monederos de criptomonedas y aplicaciones bancarias.
El troyano financiero, cuyo nombre en clave es Roamer, ejemplifica la tendencia de utilizar sitios web de phishing y canales de Telegram como vectores de distribución, ampliando así de forma efectiva el grupo de víctimas potenciales.
"Los usuarios deben tener cuidado y abstenerse de seguir canales sospechosos de minería de criptomonedas en plataformas como Telegram, ya que estos canales pueden conducir a pérdidas financieras sustanciales y comprometer datos personales sensibles", dijo Cyble.
Fuente: thehackernews