Los investigadores de ciberseguridad han marcado una versi\u00f3n actualizada del implante Lightspy que viene equipado con un conjunto ampliado de caracter\u00edsticas de recopilaci\u00f3n de datos para extraer informaci\u00f3n de plataformas de redes sociales como Facebook e Instagram.<\/p>\n
LightSpy es el nombre dado a un spyware modular que es capaz de infectar los sistemas de Windows y Apple con el objetivo de cosechar datos. Fue documentado por primera vez en 2020, dirigido a los usuarios en Hong Kong.<\/p>\n
Esto incluye informaci\u00f3n de red Wi-Fi, capturas de pantalla, ubicaci\u00f3n, llavero iCloud, grabaciones de sonido, fotos, historial de navegadores, contactos, historial de llamadas y mensajes SMS, y datos de varias aplicaciones como archivos, l\u00ednea, maestro de correo, telegrama, tencent QQ, WeChat y WhatsApp.<\/p>\n
A fines del a\u00f1o pasado, Deniquefabric detall\u00f3 una versi\u00f3n actualizada del malware que incorpora capacidades destructivas para evitar que el dispositivo comprometido se inicie, junto con la expansi\u00f3n del n\u00famero de complementos compatibles de 12 a 28.<\/p>\n
Los hallazgos anteriores tambi\u00e9n han descubierto posibles superposiciones entre LightSpy y un malware Android llamado Dragonegg, destacando la naturaleza multiplataforma de la amenaza.<\/p>\n
El \u00faltimo an\u00e1lisis de Hunt.io de la infraestructura maliciosa de comando y control (C2) asociada con el spyware ha descubierto soporte para m\u00e1s de 100 comandos que abarcan Android, iOS, Windows, MacOS, Routers y Linux.<\/p>\n
![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2025\/02\/LightSpy-se-expande-a-mas-de-100-comandos-aumentando-el.png\")
<\/a><\/center><\/div>\n“La nueva lista de comandos cambia el enfoque de la recopilaci\u00f3n de datos directos a un control operativo m\u00e1s amplio, incluida la administraci\u00f3n de transmisi\u00f3n (‘\u4f20\u8f93\u63a7\u5236’) y el seguimiento de las versi\u00f3n del complemento (‘\u4e0a\u4f20\u63d2\u4ef6\u7248\u672c\u8be6\u7ec6\u4fe1\u606f’)”, la compa\u00f1\u00eda dicho<\/a>.<\/p>\n “Estas adiciones sugieren un marco m\u00e1s flexible y adaptable, lo que permite a los operadores de LightSpy administrar las implementaciones de manera m\u00e1s eficiente en m\u00faltiples plataformas”.<\/p>\n Entre los nuevos comandos es la capacidad de dirigirse a archivos de base de datos de aplicaciones de Facebook e Instagram para la extracci\u00f3n de datos de los dispositivos Android. Pero en un giro interesante, los actores de amenaza han eliminado los complementos de iOS asociados con acciones destructivas en el anfitri\u00f3n de la v\u00edctima.<\/p>\n Tambi\u00e9n se descubren 15 complementos espec\u00edficos de Windows dise\u00f1ados para la vigilancia del sistema y la recopilaci\u00f3n de datos, con la mayor\u00eda de ellos orientados hacia el keylogging, la grabaci\u00f3n de audio y la interacci\u00f3n USB.<\/p>\n La firma de inteligencia de amenazas dijo que tambi\u00e9n descubri\u00f3 un punto final (“\/tel\u00e9fono\/phoneininfo”) en el panel de administraci\u00f3n que otorga a los usuarios iniciadores la capacidad de controlar de forma remota los dispositivos m\u00f3viles infectados. Actualmente no se sabe si estos representan nuevos desarrollos o versiones anteriores previamente indocumentadas.<\/p>\n “El cambio de las aplicaciones de mensajer\u00eda de orientaci\u00f3n a Facebook e Instagram expande la capacidad de Lightspy para recopilar mensajes privados, listas de contactos y metadatos de cuenta de plataformas sociales ampliamente utilizadas”, dijo Hunt.io.<\/p>\n “Extraer estos archivos de base de datos podr\u00eda proporcionar a los atacantes conversaciones almacenadas, conexiones de usuario y datos potencialmente relacionados con la sesi\u00f3n, aumentando las capacidades de vigilancia y las oportunidades para una mayor explotaci\u00f3n”.<\/p>\n La divulgaci\u00f3n se produce cuando Cyfirma revel\u00f3 los detalles de un malware de Android denominado Spylend que se disfraza de una aplicaci\u00f3n financiera llamada Finance Simplified (nombre APK “com.someca.count”) en Google Play Store pero se involucra en pr\u00e9stamos predatorios, chantaj\u00edas y extorsi\u00f3n dirigida Usuarios indios.<\/p>\n “Al aprovechar la orientaci\u00f3n basada en la ubicaci\u00f3n, la aplicaci\u00f3n muestra una lista de aplicaciones de pr\u00e9stamos no autorizadas que operan completamente dentro de WebView, lo que permite a los atacantes evitar el escrutinio de la tienda”, la compa\u00f1\u00eda dicho<\/a>.<\/p>\n “Una vez instalado, estas aplicaciones de pr\u00e9stamos cosechan datos del usuario confidencial, hacen cumplir las pr\u00e1cticas de pr\u00e9stamo de explotaci\u00f3n y emplean t\u00e1cticas de chantaje para extorsionar el dinero”.<\/p>\n Algunas de las aplicaciones de pr\u00e9stamos anunciadas son KreditPro (anteriormente Kreditapple), Moneyape, Stashfur, Fairbalance y Pokketme. Los usuarios que instalan financiamiento simplificados desde fuera de la India reciben una visi\u00f3n web inofensiva que enumera a varias calculadoras para finanzas personales, contabilidad e impuestos, lo que sugiere que la campa\u00f1a est\u00e1 dise\u00f1ada para dirigirse espec\u00edficamente a los usuarios indios. <\/p>\n La aplicaci\u00f3n ya no est\u00e1 disponible para descargar desde el mercado oficial de aplicaciones de Android. Seg\u00fan las estad\u00edsticas disponibles en Sensor Tower, la aplicaci\u00f3n fue publicado<\/a> alrededor de mediados de diciembre de 2024 y atrajo m\u00e1s de 100,000 instalaciones.<\/p>\n “Inicialmente presentada como una aplicaci\u00f3n inofensiva de gesti\u00f3n de finanzas, descarga una aplicaci\u00f3n de pr\u00e9stamo de fraude de una URL de descarga externa, que una vez instalada, obtiene permisos extensos para acceder a datos confidenciales, incluidos archivos, contactos, registros de llamadas, SMS, contenido de portapapeles e incluso el C\u00e1mara “, se\u00f1al\u00f3 Cyfirma.<\/p>\n Los clientes de la banca minorista india tambi\u00e9n se han convertido en el objetivo de otra campa\u00f1a que distribuye un llamado FinSealer con nombre en c\u00f3digo de malware que se hace pasar por aplicaciones bancarias leg\u00edtimas, pero est\u00e1 dise\u00f1ado para recolectar credenciales de inicio de sesi\u00f3n y facilitar el fraude financiero realizando transacciones no autorizadas. <\/p>\n “Distribuido a trav\u00e9s de enlaces de phishing e ingenier\u00eda social, estas aplicaciones falsas imitan de cerca las aplicaciones bancarias leg\u00edtimas, enga\u00f1ando a los usuarios para que revelen credenciales, datos financieros y datos personales”, la compa\u00f1\u00eda dicho<\/a>.<\/p>\n “Utilizando los bots de telegrama, el malware puede recibir instrucciones y enviar datos robados sin generar sospechas, lo que dificulta que los sistemas de seguridad detecten y bloqueen la comunicaci\u00f3n”.<\/p>\n <\/p>\n<\/a><\/div>\n<\/a><\/center><\/div>\n