Los investigadores de ciberseguridad han descubierto un nuevo troyano de acceso remoto (RAT) para Android llamado Modificador de bingo<\/strong> que no solo realiza transferencias de dinero fraudulentas desde los dispositivos comprometidos, sino que tambi\u00e9n los borra en un intento de borrar los rastros del malware.<\/p>\n La empresa italiana de ciberseguridad Cleafy, que descubri\u00f3 el RAT a finales de mayo de 2024, afirm\u00f3 que el malware se encuentra en desarrollo activo. Atribuy\u00f3 el troyano de Android a un posible actor de amenazas de habla rumana debido a la presencia de comentarios en rumano en el c\u00f3digo fuente asociado con las primeras versiones.<\/p>\n “BingoMod pertenece a la generaci\u00f3n moderna de RAT de malware m\u00f3vil, ya que sus capacidades de acceso remoto permiten a los actores de amenazas (TA) realizar la toma de control de cuentas (ATO) directamente desde el dispositivo infectado, explotando as\u00ed la t\u00e9cnica de fraude en el dispositivo (ODF)”, dijeron los investigadores Alessandro Strino y Simone Mattia. dicho<\/a>.<\/p>\n Vale la pena mencionar aqu\u00ed que esta t\u00e9cnica se ha observado en otros troyanos bancarios de Android, como Medusa (tambi\u00e9n conocido como TangleBot), Copybara y TeaBot (tambi\u00e9n conocido como Anatsa).<\/p>\n BingoMod, al igual que BRATA, tambi\u00e9n destaca por emplear un mecanismo de autodestrucci\u00f3n que est\u00e1 dise\u00f1ado para eliminar cualquier evidencia de la transferencia fraudulenta en el dispositivo infectado, con el fin de dificultar el an\u00e1lisis forense. Si bien esta funcionalidad est\u00e1 limitada al almacenamiento externo del dispositivo, se sospecha que las funciones de acceso remoto podr\u00edan usarse para iniciar un restablecimiento completo de f\u00e1brica.<\/p>\n Algunas de las aplicaciones identificadas se hacen pasar por herramientas antivirus y actualizaciones de Google Chrome. Una vez instaladas, la aplicaci\u00f3n solicita al usuario que le conceda permisos de servicios de accesibilidad y las utiliza para iniciar acciones maliciosas.<\/p>\n Esto incluye ejecutar la carga \u00fatil principal y bloquear al usuario de la pantalla principal para recopilar informaci\u00f3n del dispositivo, que luego se filtra a un servidor controlado por el atacante. Tambi\u00e9n abusa de la API de servicios de accesibilidad para robar informaci\u00f3n confidencial que se muestra en la pantalla (por ejemplo, credenciales y saldos de cuentas bancarias) y darse permiso para interceptar mensajes SMS.<\/p>\n Para iniciar transferencias de dinero directamente desde dispositivos comprometidos, BingoMod establece una conexi\u00f3n basada en socket con la infraestructura de comando y control (C2) para recibir hasta 40 comandos de forma remota para tomar capturas de pantalla utilizando Android. API de proyecci\u00f3n de medios<\/a> e interactuar con el dispositivo en tiempo real.<\/p>\n Esto tambi\u00e9n significa que la t\u00e9cnica ODF depende de un operador en vivo para realizar una transferencia de dinero de hasta 15 000 \u20ac (~16 100 USD) por transacci\u00f3n, en lugar de aprovechar un sistema de transferencia autom\u00e1tica (ATS) para llevar a cabo fraude financiero a escala.<\/p>\n Otro aspecto crucial es el \u00e9nfasis del actor de amenazas en evadir la detecci\u00f3n utilizando t\u00e9cnicas de ofuscaci\u00f3n de c\u00f3digo y la capacidad de desinstalar aplicaciones arbitrarias del dispositivo comprometido, lo que indica que los autores de malware est\u00e1n priorizando la simplicidad sobre las funciones avanzadas.<\/p>\n “Adem\u00e1s del control de pantalla en tiempo real, el malware muestra capacidades de phishing a trav\u00e9s de ataques de superposici\u00f3n y notificaciones falsas”, dijeron los investigadores. “Excepcionalmente, los ataques de superposici\u00f3n no se activan cuando se abren aplicaciones espec\u00edficas, sino que son iniciados directamente por el operador del malware”.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/08\/El-nuevo-troyano-bancario-para-Android-BingoMod-roba-dinero-y.gif\")
<\/a><\/center><\/section>\n<\/a><\/div>\n<\/a><\/div>\n