Investigadores de ciberseguridad han descubierto una nueva variante de un troyano bancario para Android llamado TrickMo que viene equipado con nuevas capacidades para evadir el an\u00e1lisis y mostrar pantallas de inicio de sesi\u00f3n falsas para capturar las credenciales bancarias de las v\u00edctimas.<\/p>\n
“Los mecanismos incluyen el uso de archivos ZIP malformados en combinaci\u00f3n con JSONPacker”, dijeron los investigadores de seguridad de Cleafy Michele Roviello y Alessandro Strino. dicho<\/a>“Adem\u00e1s, la aplicaci\u00f3n se instala a trav\u00e9s de una aplicaci\u00f3n dropper que comparte los mismos mecanismos anti-an\u00e1lisis”.<\/p>\n “Estas funciones est\u00e1n dise\u00f1adas para evadir la detecci\u00f3n y obstaculizar los esfuerzos de los profesionales de la ciberseguridad para analizar y mitigar el malware”.<\/p>\n TrickMo, detectado por primera vez por CERT-Bund en septiembre de 2019, tiene antecedentes de atacar dispositivos Android, en particular usuarios en Alemania para robar contrase\u00f1as de un solo uso (OTP) y otros c\u00f3digos de autenticaci\u00f3n de dos factores (2FA) para facilitar el fraude financiero.<\/p>\n Se considera que el malware enfocado en dispositivos m\u00f3viles es obra de la ahora desaparecida banda de delitos electr\u00f3nicos TrickBot, que con el tiempo ha mejorado continuamente sus funciones de ofuscaci\u00f3n y antian\u00e1lisis para pasar desapercibida.<\/p>\n Entre sus caracter\u00edsticas se destacan su capacidad para grabar la actividad de la pantalla, registrar pulsaciones de teclas, recopilar fotos y mensajes SMS, controlar de forma remota el dispositivo infectado para realizar fraudes en el dispositivo (ODF) y abusar de la API de servicios de accesibilidad de Android para llevar a cabo ataques de superposici\u00f3n HTML, as\u00ed como realizar clics y gestos en el dispositivo.<\/p>\n La aplicaci\u00f3n maliciosa descubierta por la empresa de ciberseguridad italiana se hace pasar por el navegador web Google Chrome y, cuando se inicia despu\u00e9s de la instalaci\u00f3n, insta a la v\u00edctima a actualizar los Servicios de Google Play haciendo clic en el bot\u00f3n Confirmar.<\/p>\n Si el usuario contin\u00faa con la actualizaci\u00f3n, se descarga al dispositivo un archivo APK que contiene la carga \u00fatil de TrickMo bajo la apariencia de “Servicios de Google”, despu\u00e9s de lo cual se le solicita al usuario que habilite los servicios de accesibilidad para la nueva aplicaci\u00f3n.<\/p>\n “Los servicios de accesibilidad est\u00e1n dise\u00f1ados para ayudar a los usuarios con discapacidades brind\u00e1ndoles formas alternativas de interactuar con sus dispositivos”, dijeron los investigadores. “Sin embargo, cuando son explotados por aplicaciones maliciosas como TrickMo, estos servicios pueden otorgar un amplio control sobre el dispositivo”.<\/p>\n “Este permiso elevado permite a TrickMo realizar diversas acciones maliciosas, como interceptar mensajes SMS, gestionar notificaciones para interceptar u ocultar c\u00f3digos de autenticaci\u00f3n y ejecutar ataques de superposici\u00f3n HTML para robar credenciales de usuario. Adem\u00e1s, el malware puede ignorar las protecciones de teclas y aceptar permisos autom\u00e1ticamente, lo que le permite integrarse sin problemas en las operaciones del dispositivo”.<\/p>\n Adem\u00e1s, el abuso de los servicios de accesibilidad permite al malware deshabilitar funciones de seguridad cruciales y actualizaciones del sistema, otorgar permisos autom\u00e1ticamente a voluntad y evitar la desinstalaci\u00f3n de ciertas aplicaciones.<\/p>\n El an\u00e1lisis de Cleafy tambi\u00e9n descubri\u00f3 configuraciones err\u00f3neas en el servidor de comando y control (C2) que hicieron posible acceder a 12 GB de datos confidenciales extra\u00eddos de los dispositivos, incluidas credenciales e im\u00e1genes, sin requerir ninguna autenticaci\u00f3n.<\/p>\n El servidor C2 tambi\u00e9n aloja los archivos HTML utilizados en los ataques de superposici\u00f3n. Estos archivos incluyen p\u00e1ginas de inicio de sesi\u00f3n falsas para varios servicios, entre ellos bancos como ATB Mobile y Alpha Bank y plataformas de criptomonedas como Binance.<\/p>\n La falla de seguridad no solo resalta el error de seguridad operativa (OPSEC) por parte de los actores de amenazas, sino que tambi\u00e9n pone los datos de las v\u00edctimas en riesgo de ser explotados por otros actores de amenazas.<\/p>\n La gran cantidad de informaci\u00f3n expuesta desde la infraestructura C2 de TrickMo podr\u00eda aprovecharse para cometer robos de identidad, infiltrarse en varias cuentas en l\u00ednea, realizar transferencias de fondos no autorizadas e incluso realizar compras fraudulentas. Peor a\u00fan, los atacantes podr\u00edan secuestrar las cuentas y bloquear el acceso de las v\u00edctimas restableciendo sus contrase\u00f1as.<\/p>\n “Usando informaci\u00f3n e im\u00e1genes personales, el atacante puede crear mensajes convincentes que enga\u00f1en a las v\u00edctimas para que divulguen a\u00fan m\u00e1s informaci\u00f3n o ejecuten acciones maliciosas”, se\u00f1alaron los investigadores.<\/p>\n \u201cLa explotaci\u00f3n de datos personales tan amplios produce da\u00f1os financieros y de reputaci\u00f3n inmediatos y consecuencias a largo plazo para las v\u00edctimas, lo que hace que la recuperaci\u00f3n sea un proceso complejo y prolongado\u201d.<\/p>\n La revelaci\u00f3n se produce mientras Google ha estado tapando los agujeros de seguridad en torno a la carga lateral para permitir que los desarrolladores externos… determinar<\/a> Si sus aplicaciones se cargan lateralmente mediante el API de integridad de juego<\/a> y, de ser as\u00ed, exigir a los usuarios que descarguen las aplicaciones de Google Play para poder seguir utiliz\u00e1ndolas.<\/p>\n <\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/09\/El-troyano-TrickMo-para-Android-aprovecha-los-servicios-de-accesibilidad.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/div>\n<\/a><\/center><\/section>\n