El personal militar de los pa\u00edses del Medio Oriente es el objetivo de una operaci\u00f3n de software de vigilancia en curso que distribuye una herramienta de recopilaci\u00f3n de datos de Android llamada GuardZoo<\/strong>.<\/p>\n El campa\u00f1a<\/a>Se cree que el ataque, que comenz\u00f3 en octubre de 2019, se atribuy\u00f3 a un actor de amenazas alineado con los hut\u00edes bas\u00e1ndose en los se\u00f1uelos de la aplicaci\u00f3n, los registros del servidor de comando y control (C2), la huella del objetivo y la ubicaci\u00f3n de la infraestructura de ataque, seg\u00fan Lookout.<\/p>\n M\u00e1s de 450 v\u00edctimas se han visto afectadas por esta actividad maliciosa, con objetivos ubicados en Egipto, Om\u00e1n, Qatar, Arabia Saudita, Turqu\u00eda, Emiratos \u00c1rabes Unidos y Yemen. Los datos de telemetr\u00eda indican que la mayor\u00eda de las infecciones se han registrado en Yemen.<\/p>\n GuardZoo es una versi\u00f3n modificada de un troyano de acceso remoto (RAT) de Android llamado Dendroid RAT que fue Descubierto por primera vez<\/a> por Symantec, propiedad de Broadcom, en marzo de 2014. El c\u00f3digo fuente completo asociado con la soluci\u00f3n de software contra el crimen fue filtrado<\/a> M\u00e1s tarde ese mismo agosto.<\/p>\n Originalmente comercializado como un malware de consumo por un precio \u00fanico de 300 d\u00f3lares, viene con capacidades para llamar a un n\u00famero de tel\u00e9fono, eliminar registros de llamadas, abrir p\u00e1ginas web, grabar audio y llamadas, acceder a mensajes SMS, tomar y cargar fotos y videos, e incluso iniciar una Ataque de inundaci\u00f3n HTTP<\/a>.<\/p>\n “Sin embargo, se realizaron muchos cambios en la base del c\u00f3digo para agregar nuevas funcionalidades y eliminar funciones no utilizadas”, dijeron los investigadores de Lookout Alemdar Islamoglu y Kyle Schmittle en un informe compartido con The Hacker News. “GuardZoo no utiliza el panel web PHP filtrado de Dendroid RAT para Command and Control (C2), sino que utiliza un nuevo backend C2 creado con ASP.NET”.<\/p>\n Las cadenas de ataque que distribuyen GuardZoo utilizan WhatsApp y WhatsApp Business como vectores de distribuci\u00f3n, y las infecciones iniciales tambi\u00e9n se producen a trav\u00e9s de descargas directas del navegador. Las aplicaciones de Android con trampas tienen temas militares y religiosos para incitar a los usuarios a descargarlas.<\/p>\n “Hemos observado que GuardZoo se distribuye de dos formas diferentes”, dijo Islamoglu a The Hacker News. “En primer lugar, el actor de la amenaza env\u00eda directamente el archivo APK al objetivo a trav\u00e9s de aplicaciones de chat privadas (Whatsapp, WhatsApp Business) utilizando la capacidad de env\u00edo de archivos de las aplicaciones de chat”.<\/p>\n “En el segundo caso, el actor de la amenaza carga el archivo a un servidor con acceso a Internet y luego comparte el enlace con el objetivo con la esperanza de que este descargue e instale el archivo APK”.<\/p>\n La versi\u00f3n actualizada del malware admite m\u00e1s de 60 comandos que le permiten obtener cargas \u00fatiles adicionales, descargar archivos y APK, cargar archivos (PDF, DOC, DOCX, XLX, XLSX y PPT) e im\u00e1genes, cambiar la direcci\u00f3n C2 y finalizar, actualizar o eliminarse del dispositivo comprometido.<\/p>\n El malware de Android tambi\u00e9n posee la funcionalidad de cargar todos los archivos con extensiones KMZ, WPT, RTE y TRK<\/a>cada uno de los cuales corresponde a mapas y datos de CompeGPS que muestran waypoints, rutas y tracks.<\/p>\n “GuardZoo ha estado utilizando los mismos dominios DNS din\u00e1micos para operaciones C2 desde octubre de 2019”, dijeron los investigadores. “Estos dominios se resuelven en direcciones IP registradas en YemenNet y cambian peri\u00f3dicamente”.<\/p>\n El Hut\u00edes<\/a> \u2013 un grupo militante que Controla San\u00e1 y el noroeste de Yemen.<\/a> \u2013 han incorporado capacidades cibern\u00e9ticas a su arsenal en los \u00faltimos a\u00f1os. En mayo de 2023, Recorded Future revel\u00f3 una campa\u00f1a de espionaje m\u00f3vil llevada a cabo por un grupo de piratas inform\u00e1ticos vinculado al movimiento que utiliz\u00f3 WhatsApp para implementar un malware para Android conocido como SpyNote (tambi\u00e9n conocido como SpyMax).<\/p>\n “El dise\u00f1o de GuardZoo est\u00e1 enfocado espec\u00edficamente en el robo de fotos, documentos y archivos de mapas de los dispositivos de las v\u00edctimas, y se ha utilizado para robar con \u00e9xito documentos militares confidenciales en el pasado”, dijo Islamoglu.<\/p>\n “Los archivos de mapeo en particular no se recopilan com\u00fanmente en programas esp\u00eda similares utilizados por otros actores de amenazas, e indica que los actores de amenazas pueden estar interesados \u200b\u200ben rastrear los movimientos de tropas militares que probablemente se registran en aplicaciones de navegaci\u00f3n. Esto sugiere que GuardZoo se est\u00e1 utilizando para recopilar inteligencia militar tanto t\u00e1ctica como estrat\u00e9gica que puede utilizarse para beneficiar otras operaciones que est\u00e1n llevando a cabo los hut\u00edes”.<\/p>\n (La historia se actualiz\u00f3 despu\u00e9s de su publicaci\u00f3n para incluir comentarios adicionales de Lookout).<\/em><\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/07\/El-malware-GuardZoo-ataca-a-mas-de-450-militares-de.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/section>\n