Un actor de delitos electr\u00f3nicos de procedencia mexicana ha sido vinculado a una campa\u00f1a de malware m\u00f3vil Android dirigida a instituciones financieras a nivel mundial, pero con un enfoque espec\u00edfico en bancos espa\u00f1oles y chilenos, desde junio de 2021 hasta abril de 2023.<\/p>\n
La actividad se atribuye a un actor cuyo nombre en c\u00f3digo Neo_Net<\/strong>, seg\u00fan el investigador de seguridad Pol Thill. Los hallazgos fueron publicados por SentinelOne luego de un Malware Research Challenge en colaboraci\u00f3n con vx-underground.<\/p>\n “A pesar de usar herramientas relativamente poco sofisticadas, Neo_Net ha logrado una alta tasa de \u00e9xito al adaptar su infraestructura a objetivos espec\u00edficos, lo que result\u00f3 en el robo de m\u00e1s de 350\u00a0000 EUR de las cuentas bancarias de las v\u00edctimas y comprometi\u00f3 la informaci\u00f3n de identificaci\u00f3n personal (PII) de miles de v\u00edctimas”, dijo Thill. dicho<\/a>.<\/p>\n Algunos de los principales objetivos incluyen bancos como Santander, BBVA, CaixaBank, Deutsche Bank, Cr\u00e9dit Agricole e ING.<\/p>\n Neo_Net, vinculado a un actor de habla hispana que reside en M\u00e9xico, se ha establecido como un ciberdelincuente experimentado, participando en la venta de paneles de phishing, datos de v\u00edctimas comprometidos a terceros y una oferta de smishing como servicio llamada Ankarex que es dise\u00f1ado para dirigirse a una serie de pa\u00edses de todo el mundo.<\/p>\n El punto de entrada inicial para el ataque de varias etapas es el phishing por SMS, en el que el actor de la amenaza emplea varias t\u00e1cticas de miedo para enga\u00f1ar a los destinatarios involuntarios para que hagan clic en p\u00e1ginas de destino falsas para recolectar y exfiltrar sus credenciales a trav\u00e9s de un bot de Telegram.<\/p>\n “Las p\u00e1ginas de phishing se configuraron meticulosamente utilizando los paneles de Neo_Net, PRIV8, e implementaron m\u00faltiples medidas de defensa, incluido el bloqueo de solicitudes de agentes de usuarios no m\u00f3viles y la ocultaci\u00f3n de las p\u00e1ginas de bots y esc\u00e1neres de red”, explic\u00f3 Thill. <\/p>\n “Estas p\u00e1ginas fueron dise\u00f1adas para parecerse mucho a las aplicaciones bancarias genuinas, completas con animaciones para crear una fachada convincente”.<\/p>\n Tambi\u00e9n se ha observado que los actores de amenazas enga\u00f1an a los clientes bancarios para que instalen aplicaciones de Android no autorizadas bajo la apariencia de un software de seguridad que, una vez instalado, solicita permisos de SMS para capturar c\u00f3digos de autenticaci\u00f3n de dos factores (2FA) basados \u200b\u200ben SMS enviados por el banco.<\/p>\n La plataforma Ankarex, por su parte, est\u00e1 activa desde mayo de 2022. Se promociona activamente en un canal de Telegram que tiene unos 1.700 suscriptores.<\/p>\n “El servicio en s\u00ed es accesible en ankarex[.]net, y una vez registrados, los usuarios pueden cargar fondos mediante transferencias de criptomonedas y lanzar sus propias campa\u00f1as de Smishing especificando el contenido del SMS y los n\u00fameros de tel\u00e9fono de destino”, dijo Thill.<\/p>\n El desarrollo se produce cuando ThreatFabric detall\u00f3 una nueva campa\u00f1a de troyano bancario Anatsa (tambi\u00e9n conocido como TeaBot) que se ha dirigido a clientes bancarios en los EE. UU., Reino Unido, Alemania, Austria y Suiza desde principios de marzo de 2023.<\/p>\n <\/p>\n