El equipo de investigación ThreatLabz de Zscaler ha alertado sobre la presencia de nuevas aplicaciones maliciosas en Google Play utilizadas como vehículos para propagar el troyano bancario Anatsa, también conocido como TeaBot.
Según la firma de seguridad, Anatsa ha ampliado su alcance y actualmente tiene como objetivo a más de 830 instituciones financieras y plataformas de criptomonedas (desde las 650 anteriores), incluyendo bancos en países donde hasta ahora no había tenido actividad, como Alemania o Corea del Sur.
En campañas recientes también se habían detectado víctimas en Norteamérica, con una app fraudulenta que llegó a ser descargada por 50.000 usuarios en EE.UU. y Canadá.
El malware funciona mediante un sistema de ‘droppers’: las aplicaciones inicialmente parecen legítimas, pero una vez instaladas descargan un componente adicional desde un servidor de comando y control que activa el troyano. Una de ellas era una herramienta llamada ‘Document Reader- File Manager’.
Entre las capacidades de este virus se encuentran el robo de credenciales bancarias mediante pantallas superpuestas sobre apps oficiales, la captura de pulsaciones de teclado y el uso de permisos de accesibilidad para tomar el control del dispositivo.
Los investigadores destacan que los cibermalos están perfeccionando sus técnicas de evasión. Anatsa emplea cifrado DES para ocultar cadenas de texto, manipula archivos APK para dificultar el análisis e incluso verifica si el dispositivo es un emulador antes de ejecutar sus funciones. Estas estrategias permiten que el malware permanezca activo durante más tiempo antes de ser detectado y eliminado.
Los riesgos para los usuarios son considerables: pérdida de credenciales financieras, acceso no autorizado a cuentas bancarias o de criptomonedas y la posibilidad de que se realicen transferencias fraudulentas sin que el propietario del dispositivo lo perciba. Aunque Google ha retirado las apps señaladas, la rapidez con la que los desarrolladores maliciosos publican nuevas variantes mantiene vigente la amenaza.
La ubicuidad del Joker
Mientras realizaban el seguimiento a la nueva ola de infección de Tea Bot, los investigadores descubrieron un total de 77 apps de Android con más de 19 millones de instalaciones que distribuían múltiples familias de malware a los usuarios de Google Play.
Aunque la mayoría de las herramientas maliciosas (más del 66%) incluían componentes de adware, el malware de Android más común fue Joker, que los investigadores encontraron en casi el 25% de las aplicaciones analizadas.
Un porcentaje menor de apps incluía maskware, un término utilizado para definir una aplicación maliciosa que se disfraza de algo que no levantaría ninguna sospecha.
Zscaler también halló una variante del malware Joker denominada Harly, presentada como una app legítima que tiene una carga maliciosa oculta más profundamente para evadir la detección.
La buena noticia es que se encontró una notable disminución en familias de malware como Facestealer y Coper.
Tras el informe responsable de la compañía de seguridad Google procedió a eliminar estas apps maliciosas de su almacén.
Como medidas de protección, Zscaler recomienda descargar apps únicamente de desarrolladores confiables, mantener activo Google Play Protect, eliminar cualquier aplicación que muestre comportamientos sospechosos y actualizar con frecuencia las credenciales bancarias si se sospecha de una infección.
Deja una respuesta