Las instituciones financieras están siendo atacadas por una nueva versión de malware de Android llamada nota espía al menos desde octubre de 2022.
“La razón detrás de este aumento es que el desarrollador del spyware, que anteriormente lo vendía a otros actores, hizo público el código fuente”, ThreatFabric. dicho en un informe compartido con The Hacker News. “Esto ha ayudado a otros actores [in] desarrollar y distribuir el software espía, a menudo también dirigido a instituciones bancarias”.
Algunas de las instituciones notables que se hacen pasar por el malware incluyen Deutsche Bank, HSBC UK, Kotak Mahindra Bank y Nubank.
SpyNote (también conocido como SpyMax) tiene muchas funciones y viene con una gran cantidad de capacidades que le permiten instalar aplicaciones arbitrarias; recopilar mensajes SMS, llamadas, videos y grabaciones de audio; rastrear ubicaciones de GPS; e incluso obstaculizar los esfuerzos para desinstalar la aplicación.
También sigue el modus operandi de otro malware bancario al solicitar permisos a los servicios de accesibilidad para extraer códigos de autenticación de dos factores (2FA) de Google Authenticator y registrar las pulsaciones de teclas para desviar las credenciales bancarias.
Además, SpyNote incluye funcionalidades para saquear las contraseñas de Facebook y Gmail, así como para capturar el contenido de la pantalla aprovechando las funciones de Android. API de proyección de medios.
La firma de seguridad holandesa dijo que la iteración más reciente de SpyNote (llamada SpyNote.C) es la primera variante que afecta a las aplicaciones bancarias, así como a otras aplicaciones conocidas como Facebook y WhatsApp.
También se sabe que se hace pasar por el servicio oficial de Google Play Store y otras aplicaciones genéricas que abarcan fondos de pantalla, productividad y categorías de juegos. Una lista de algunos de los artefactos de SpyNote, que se entregan principalmente a través de ataques de smishinges como sigue –
- Confirmación de Bank of America (yps.eton.application)
- Burla Nubank (com.appser.verapp)
- Conversaciones_ (com.appser.verapp)
- Actividad actual (com.willme.topactivity)
- Deutsche Bank móvil (com.reporting.efficiency)
- Banca móvil de HSBC Reino Unido (com.employ.mb)
- Banco Kotak (splash.app.main)
- Tarjeta SIM virtual (cobi0jbpm.apvy8vjjvpser.verapchvvhbjbjq)
Se estima que SpyNote.C fue comprado por 87 clientes diferentes entre agosto de 2021 y octubre de 2022 después de que su desarrollador lo anunciara con el nombre CypherRat a través de un canal de Telegram.
Sin embargo, la disponibilidad de código abierto de CypherRat en octubre de 2022 condujo a un aumento dramático en la cantidad de muestras detectadas en la naturaleza, lo que sugiere que varios grupos criminales están cooptando el malware en sus propias campañas.
ThreatFabric señaló además que el autor original comenzó a trabajar en un nuevo proyecto de software espía con nombre en código CraxsRat, que se ofrecerá como una aplicación paga con características similares.
“Este desarrollo no es tan común dentro del ecosistema Android Spyware, pero es extremadamente peligroso y muestra el potencial inicio de una nueva tendencia, que verá una desaparición gradual de la distinción entre spyware y malware bancario, debido al poder que el abuso de Los servicios de accesibilidad brindan a los delincuentes”, dijo la compañía.