Según Trend Micro, 8,9 millones de dispositivos Android están preinfectados con malware guerrilla
Según Trend Micro, la pandilla de ciberdelincuentes Lemon Group ha logrado preinstalar el malware Guerrilla en alrededor de 8,9 millones de teléfonos inteligentes, relojes, televisores y decodificadores de TV basados en Android en todo el mundo.
El malware guerrillero puede cargar cargas útiles adicionales, interceptar contraseñas de un solo uso (OTP) de mensajes de texto SMS, configurar un proxy inverso desde el dispositivo infectado e infiltrarse en las sesiones de WhatsApp.
«La infección convierte estos dispositivos en proxies móviles, herramientas para robar y vender mensajes SMS, redes sociales y cuentas de mensajería en línea, y monetizar a través de publicidad y fraude de clics», dijeron los investigadores de Trend Micro en uno. informe Presentado en la conferencia BlackHat Asia esta semana.
Los dispositivos infectados se distribuyeron en todo el mundo y el malware se instaló en dispositivos enviados a más de 180 países, incluidos EE. UU., México, Indonesia, Tailandia, Rusia, Sudáfrica, India, Angola, Filipinas y Argentina.
Terceros preinstalan malware en dispositivos Android
La instalación de malware en dispositivos Android puede ocurrir cuando los fabricantes de dispositivos Android contratan a terceros para mejorar las imágenes predeterminadas del sistema. En su análisis de Guerrilla, Trend Micro descubrió que una empresa que fabrica componentes de firmware para teléfonos móviles también fabrica componentes similares para Android Auto, una aplicación móvil similar a un teléfono inteligente Android que se ejecuta en las unidades de información y entretenimiento de los tableros de los vehículos.
“Esto amplía y crea la posibilidad de que algunos sistemas de entretenimiento en el automóvil ya estén infectados”, dijo Trend Micro en la investigación.
Trend Micro comenzó a analizar Guerrilla luego de observar informes de teléfonos infectados con el malware. Los investigadores compraron un teléfono infectado y extrajeron la imagen ROM para el análisis forense. «Encontramos una biblioteca del sistema llamada libandroid_runtime.así que fue manipulada para inyectar un fragmento de código en una función llamada println_native», dijo Trend Micro en su informe.
El código inyectado descodifica un archivo DEX, un formato de archivo utilizado por el sistema operativo Android para ejecutar bytecode, desde la sección de datos del dispositivo y lo carga en la memoria. El tiempo de ejecución de Android ejecuta el archivo para activar el complemento principal utilizado por los atacantes, llamado Sloth, e implementar su configuración, que incluye un dominio de Lemon Group utilizado para la comunicación.
El negocio principal de Lemon Group incluye la explotación de big data, «analizar grandes cantidades de datos y las características correspondientes de los suministros del fabricante, diversos contenidos publicitarios recibidos de diferentes usuarios en diferentes momentos y los datos de hardware con empuje de software detallado». dijo Trend Micro. Esto le permite a Lemon Group monitorear a los clientes que pueden infectarse aún más con otras aplicaciones.
«Suponemos que las operaciones del actor de amenazas también pueden implicar el robo de información del dispositivo infectado para usarla para la recopilación masiva de datos antes de venderla a otros actores de amenazas como otro programa de monetización posterior a la infección», dijo Trend Micro.
Características del malware de guerrilla Lemon Group
El complemento principal para el malware Guerrilla carga complementos adicionales que realizan funciones específicas: el complemento de SMS intercepta contraseñas de un solo uso para WhatsApp, JingDong y Facebook recibidas por SMS; El complemento de proxy configura un proxy inverso desde el teléfono infectado y permite a los atacantes utilizar los recursos de la red de la víctima; El complemento de cookies toma las cookies de Facebook del directorio de datos de la aplicación y las extrae al servidor C2. Además, las sesiones de WhatsApp son secuestradas para difundir mensajes no deseados desde el dispositivo comprometido.
El malware también incluye Splash Plugin que muestra anuncios intrusivos a las víctimas cuando usan aplicaciones legítimas y Silent Plugin que instala APK adicionales (Android Package Kits) recibidos del servidor C2 o aplicaciones existentes de acuerdo con las instrucciones desinstaladas. La aplicación se instala y se inicia en silencio en el sentido de que sucede en segundo plano, según Trend Micro.
Enlaces al troyano Triada
La infraestructura de los atacantes se superpone parcialmente con la operación del troyano Triada de 2016.
Triada es un troyano bancario que se preinstaló en 42 modelos de teléfonos inteligentes Android de marcas chinas baratas. «Creemos que estos dos grupos trabajaron juntos en algún momento, ya que identificamos cierta superposición en su infraestructura de servidor C&C», dijo Trend Micro.
El Grupo Lemon se identificó por primera vez en febrero de 2022, después de lo cual el grupo pasó a llamarse Durian Cloud SMS. Sin embargo, la infraestructura y las tácticas de los atacantes se mantuvieron sin cambios.
Derechos de autor © 2023 IDG Communications, Inc.
Hemos recibido este contenido de ciberseguridad de: CSO Online
Puedes encontrar la noticia original en el enlace que se encuentra a continuación: https://www.csoonline.com/article/3697130/guerrilla-malware-is-preinfected-on-89-million-android-devices-trend-micro-says.html#tk.rss_news
