El robo de SMS en constante evolución amenaza a los usuarios de Android en todo el mundo

Un nuevo tipo de malware con más de 107.000 muestras que Dirigirse a dispositivos Android ha estado robando mensajes SMS para obtener contraseñas de un solo uso (OTP) y otros datos confidenciales de los usuarios para realizar más actividades maliciosas durante más de dos años.

El acertadamente llamado «SMS Stealer», que está respaldado por una extensa infraestructura cibercriminal, se propaga a través de aplicaciones móviles que cambian dinámicamente y se distribuyen a través de mensajes de Telegram o anuncios de aplicaciones legítimas, según descubrieron investigadores del proveedor de seguridad móvil Zimperium zLabs.

Los investigadores están allí desde febrero de 2022. Localizar al ladrónque se ha descargado hasta ahora desde víctimas en 113 países, con India y Rusia encabeza la lista, los investigadores de Zimperium Aazim Bill SE Yaswant, Rajat Goyal, Vishnu Pratapagiri y Gianluca Braga a descrito en la publicación del blog publicado el 30 de julio. La campaña parece tener una motivación parcialmente financiera, ya que los atacantes están bien organizados y tienen al menos 13 servidores de comando y control (C2) y 2.600 bots de Telegram.

Esta campaña en constante evolución la hace particularmente peligrosa porque puede evadir «métodos tradicionales de detección basados ​​en firmas», lo que dificulta que los defensores los detecten, «sin un sofisticado motor de malware en el dispositivo capaz de detectar malware de día cero», dice Nico Chiaraviglio, científico jefe de Zimperium.

«[The malware’s] La capacidad de generar dinámicamente y distribuir aplicaciones maliciosas únicas a usuarios de dispositivos específicos a través de múltiples vectores de amenazas indica un alto nivel de sofisticación y adaptabilidad por parte de los actores de amenazas», afirma.

De hecho, más de 99.000 de las muestras de malware que analizaron los investigadores eran desconocidas y no estaban disponibles en repositorios ampliamente disponibles. Esto demuestra que la campaña de los defensores ha permanecido en gran medida indocumentada durante casi dos años y medio. Además, los atacantes se dirigen a más de 60 marcas mundiales líderes en términos de mensajes OTP interceptados por el malware, y algunas marcas tienen cientos de millones de usuarios.

Campaña multifase

Los investigadores descubrieron que el proceso desde la infección con el malware hasta el robo de SMS y otros datos ocurre en múltiples etapas y probablemente tenga como objetivo llevar a cabo más actividades maliciosas con los datos robados.

“Estas credenciales robadas sirven como trampolín para futuras actividades fraudulentas, como la creación de cuentas falsas en servicios populares. Iniciar campañas de phishing o ataques de ingeniería social», escribieron los investigadores en la publicación.

Comienza la campaña si un usuario de Android es engañado para que cargue una aplicación maliciosa, ya sea a través de un anuncio engañoso que imita una tienda de aplicaciones legítima, o mediante el uso de bots automatizados de Telegram que se comunican directamente con el objetivo y utilizan ingeniería social para convencerlo de participar. Cuando se instala, la aplicación maliciosa solicita permiso para leer mensajes SMS, «un permiso de alto riesgo en Android que otorga amplio acceso a datos personales confidenciales», dice la publicación.

«Si bien las aplicaciones legítimas requieren permisos de SMS para funciones específicas y bien definidas, la solicitud de esta aplicación en particular probablemente no esté autorizada y tenga como objetivo exfiltrar los mensajes de texto privados de la víctima», escriben los investigadores.

Una vez que el malware recibe los permisos adecuados, busca una dirección para un servidor C2 y luego se conecta para transmitir comandos a ejecutar, así como mensajes SMS robados. En la quinta y última fase, los atacantes convierten el dispositivo de la víctima en un «interceptor silencioso» donde el malware permanece oculto y monitorea constantemente los mensajes SMS entrantes, principalmente para valiosas OTP de verificación de cuentas en línea.

“Necesidad urgente” de una mejor defensa móvil

Si bien el robo de mensajes SMS para obtener ganancias financieras no es de ninguna manera una amenaza nueva, el enfoque dinámico y persistente de los atacantes hacia la campaña demuestra un «método de ataque sofisticado y eficiente» que requiere una respuesta inmediata, señala Chiaravigli.

De hecho, la creciente prevalencia de malware móvil, particularmente aplicaciones extendidas y ocultas que pueden robar OTP valiosas, representa una amenaza significativa tanto para individuos como para empresas, dicen los expertos. No sólo invaden la privacidad de los usuarios, sino que los datos confidenciales a los que acceden pueden ser un trampolín para una variedad de actividades maliciosas como el robo de credenciales, el fraude financiero y Secuestro de datos.

«Hemos visto malware de redireccionamiento de SMS en el pasado, pero la capacidad de SMS Stealer para interceptar OTP, facilitar el robo de credenciales y permitir una mayor infiltración de malware plantea riesgos graves», señala Jason Soroko, vicepresidente senior de Producto de Sectigo, un proveedor de gestión del ciclo de vida de certificados. .

Esto subraya la «necesidad urgente» de que las organizaciones adopten estrategias de seguridad móvil mejoradas, particularmente dirigidas a la gestión de permisos de aplicaciones y al monitoreo continuo de amenazas, «para proteger las identidades digitales y la integridad organizacional», dice.

Las nuevas estrategias de defensa deben tener múltiples capas e incluir una combinación de análisis de comportamiento avanzado, aprendizaje automático e inteligencia sobre amenazas en tiempo real, añade Stephen Kowski, director de tecnología de campo de SlashNext Email Security+, y afirma: “Soluciones sólidas de defensa contra amenazas móviles, estrategias de defensa proactivas y Las actualizaciones de seguridad continuas desempeñan un papel fundamental en la identificación y neutralización del malware oculto”.