Más de 90 aplicaciones maliciosas con un total de 5,5 millones de descargas acechan en Google Play Store

Más de 90 aplicaciones móviles maliciosas se han descargado más de 5,5 millones de veces desde el Google Play Tienda en los últimos meses. Difunden varios programas maliciosos, incluido el Troyano bancario Anatsalos investigadores han descubierto.

Las aplicaciones descubiertas por los investigadores de Zscaler en los últimos meses actúan como señuelos para el malware e incluyen una variedad de lectores de códigos PDF y QR, así como administradores de archivos, editores y traductores, anunció Zscaler. en una publicación de blog publicado ayer.

Anatsa (también conocido como Teabot) es un troyano sofisticado que inicialmente utiliza aplicaciones cuentagotas de segunda etapa que parecen inofensivas para el usuario para engañarlo para que instale la carga útil. Una vez instalado, utiliza una variedad de tácticas de evasión para extraer datos bancarios e información financiera confidenciales de aplicaciones financieras globales.

«Esto se logra mediante el uso de técnicas de superposición y acceso que permiten interceptar y recopilar datos discretamente», escribieron Himanshu Sharma y Gajanana Khond de Zscaler en la publicación.

Si bien Anatsa es uno de los programas maliciosos “más influyentes” que se distribuyen actualmente en Google Play, otros son los bufón Según Zscaler, se trata de programas de lana, ladrones de caras que roban credenciales y diversos tipos de adware. También has visto el troyano Coper en la mezcla.

Además, el análisis de Zscaler muestra que las aplicaciones más utilizadas para ocultar malware en la tienda de aplicaciones móviles son herramientas como la que esconde Anatsa, seguidas de las aplicaciones de personalización y fotografía.

Evitar la detección de malware en Google Play Store

Los atacantes detrás de Anatsa, que puede filtrar datos de más de 650 aplicaciones financieras, hasta ahora se han dirigido principalmente a Android. Usuarios en Europa; Sin embargo, Zscaler informa que el malware también está «apuntando activamente» a aplicaciones bancarias en EE. UU. y el Reino Unido. Los operadores también parecen haber ampliado sus objetivos a instituciones financieras en otros países europeos -incluidos Alemania, España y Finlandia- así como Corea del Sur y Singapur, observaron los investigadores.

Aunque Google ha hecho importantes esfuerzos para evitar que aplicaciones maliciosas entren en su tienda de aplicaciones móviles, Anatsa utiliza un vector de ataque que puede eludir estas protecciones, según Zscaler. Esto se hace mediante una técnica de cuentagotas que hace que parezca que la aplicación original está limpia cuando se instala.

«Sin embargo, una vez instalada, la aplicación descarga código malicioso o una carga útil preparada desde un servidor de comando y control (C2), disfrazado de una actualización inofensiva de la aplicación», escriben los investigadores. «Este enfoque estratégico permite que el malware se cargue en la tienda oficial de Google Play Store y así evitar su detección».

Anatsa en modo ataque

Aunque los investigadores identificaron una serie de aplicaciones maliciosas, observaron en particular dos cargas útiles maliciosas de Anatsa distribuidas a través de aplicaciones que se hacían pasar por aplicaciones de lectura de códigos PDF y QR. Este tipo de aplicaciones suelen atraer un gran número de instalaciones, lo que a su vez «contribuye aún más a engañar a las víctimas y hacerles creer que estas aplicaciones son genuinas», señalaron.

Anatsa infecta un dispositivo utilizando cargas útiles remotas recuperadas de servidores de comando y control (C2) para llevar a cabo más actividades maliciosas. Una vez instalado, inicia una aplicación cuentagotas para descargar la carga útil de la siguiente etapa.

El troyano utiliza otras tácticas engañosas en su vector de ataque que dificultan la detección por parte de los usuarios o cazadores de amenazas, señalaron los investigadores. Antes de la ejecución, verifica el entorno y el tipo de dispositivo, con mayor probabilidad para detectar entornos de pruebas y entornos de análisis; Luego sólo carga su tercera etapa y la carga útil final cuando no hay moros en la costa.

Una vez cargado, Anatsa solicita diversos permisos, incluidos SMS y opciones de accesibilidad, y establece comunicación con el servidor C2 para realizar diversas actividades como: B. registrar el dispositivo infectado y obtener una lista de aplicaciones específicas para inyecciones de código.

Para robar datos financieros de los usuarios, Anatsa descarga un objetivo Enumere las aplicaciones financieras del C2 y verifique si están instaladas en el dispositivo. Pasa la información al C2, que luego proporciona páginas de inicio de sesión falsas para que las aplicaciones instaladas engañen a los usuarios para que ingresen sus credenciales, que luego se envían de regreso al servidor controlado por el atacante.

Manténgase alerta contra las ciberamenazas móviles

A pesar de todos los esfuerzos, Google aún no ha logrado aplicaciones maliciosas de Android desde la tienda Google Play. A medida que los ciberdelincuentes continúan evolucionando y creando malware con tácticas cada vez más evasivas, «se vuelve fundamental que las organizaciones implementen medidas de seguridad proactivas para proteger sus sistemas y su información financiera confidencial», señalaron los investigadores de Zscaler.

Para ayudar a los usuarios móviles empresariales a evitar compromisos, las organizaciones deben adoptar la llamada arquitectura de «confianza cero» que se centra en la seguridad centrada en el usuario y garantiza que todos los usuarios estén «autenticados y autorizados antes de acceder a los recursos, independientemente de su dispositivo o ubicación». ”, aconsejan.

Los usuarios de Android también pueden proteger las redes corporativas al no descargar aplicaciones móviles cuando se conectan a una red corporativa o al ejercer el juicio y la vigilancia adecuados. actividad sospechosa de la aplicación incluso al descargar aplicaciones de tiendas de aplicaciones confiables.