builderall

Cryptocurrency Stealing Malware


Se están utilizando sitios web de imitación de aplicaciones de mensajería instantánea como Telegram y WhatApp para distribuir versiones troyanizadas e infectar a los usuarios de Android y Windows con malware de recorte de criptomonedas.


"Todos ellos están detrás de los fondos de criptomoneda de las víctimas, con varios dirigidos a billeteras de criptomoneda", dijeron los investigadores de ESET Luká? ?tefanko y Peter Strý?ek en un nuevo análisis.


Si bien la primera instancia de malware clipper en Google Play Store se remonta a 2019, el desarrollo marca la primera vez que el malware clipper basado en Android se ha incorporado en aplicaciones de mensajería instantánea.


"Además, algunas de estas aplicaciones utilizan el reconocimiento óptico de caracteres (OCR) para reconocer el texto de las capturas de pantalla almacenadas en los dispositivos comprometidos, que es otra primicia para el malware de Android", agregó la firma eslovaca de ciberseguridad.


La cadena de ataques comienza cuando los usuarios desprevenidos hacen clic en anuncios fraudulentos en los resultados de búsqueda de Google que llevan a cientos de canales de YouTube sospechosos, que a su vez les dirigen a sitios web de Telegram y WhatsApp similares.


Lo novedoso del último lote de malware clipper es que es capaz de interceptar los chats de la víctima y sustituir cualquier dirección de monedero de criptomoneda enviada y recibida por direcciones controladas por los actores de la amenaza.


Otro grupo de malware clipper utiliza OCR para encontrar y robar frases semilla aprovechando un complemento legítimo de aprendizaje automático llamado ML Kit en Android, lo que permite vaciar las carteras.


Un tercer clúster está diseñado para vigilar las conversaciones de Telegram en busca de determinadas palabras clave chinas relacionadas con las criptomonedas, tanto codificadas como recibidas desde un servidor, y si es así, exfiltrar el mensaje completo, junto con el nombre de usuario, el grupo o el nombre del canal, a un servidor remoto.


Por último, un cuarto conjunto de clippers Android vienen con capacidades para cambiar la dirección de la cartera, así como la información del dispositivo de cosecha y los datos de Telegram, tales como mensajes y contactos.


Todas las muestras de RAT analizadas se basan en el Gh0stRAT disponible públicamente, excepto una, que emplea más comprobaciones en tiempo de ejecución antianálisis durante su ejecución y utiliza la biblioteca HP-socket para comunicarse con su servidor.


También vale la pena señalar que estos grupos, a pesar de seguir un modus operandi idéntico, representan conjuntos dispares de actividad probablemente desarrollados por diferentes actores de amenazas.


La campaña, al igual que una operación cibernética maliciosa similar que salió a la luz el año pasado, está dirigida a usuarios de habla china, motivada principalmente por el hecho de que tanto Telegram como WhatsApp están bloqueados en el país.


"Las personas que desean utilizar estos servicios tienen que recurrir a medios indirectos para obtenerlos", afirman los investigadores. "Como era de esperar, esto constituye una oportunidad propicia para que los ciberdelincuentes abusen de la situación".


A continuación se enumeran los nombres de los paquetes APK fraudulentos para Android



ESET afirma que también ha encontrado dos clusters basados en Windows, uno de ellos diseñado para intercambiar direcciones de monederos y un segundo grupo que distribuye troyanos de acceso remoto (RAT) en lugar de clippers para hacerse con el control de los hosts infectados y perpetrar el robo de criptomonedas.


Fuente: thehackernews