Aplicaci贸n de traducci贸n esconde malware para espiar a usuarios de Android



El equipo de investigaci贸n de ESET, compa帽铆a l铆der en detecci贸n proactiva de amenazas, identific贸 recientemente una nueva versi贸n del malware para Android, FurBall, que se utiliza en una campa帽a de Domestic Kitten cuyo objetivo es monitorear a trav茅s de los dispositivos m贸viles la actividad que realizan los usuarios. Desde junio de 2021 este malware se distribuye como una app de traducci贸n a trav茅s de un sitio web falso, que imita un sitio leg铆timo, que ofrece art铆culos y libros traducidos.

Los puntos clave que se帽ala ESET de esta investigaci贸n, son:

  • La campa帽a Domestic Kitten sigue en curso y se remonta al menos a 2016.

  • Se descubri贸 una nueva muestra ofuscada del malware para Android Furball utilizada en la campa帽a.

  • Se distribuye utilizando un sitio falso que suplanta la identidad de otro leg铆timo.

  • Para permanecer bajo el radar, la muestra analizada solo tiene habilitada la funcionalidad de espionaje restringido.

“La nueva versi贸n del malware para Android FurBall se utiliza en una campa帽a de Domestic Kitten, llevada adelante por el grupo de APT-C-50. Esta nueva versi贸n cuenta con las mismas funcionalidades para espiar que las versiones anteriores y dado que la capacidad del malware no ha cambiado en esta variante, el objetivo principal de esta actualizaci贸n parece ser evitar la detecci贸n por parte soluciones de seguridad. Sin embargo, estas modificaciones no han tenido efecto en el software de ESET, ya que los productos de ESET detectan esta amenaza”, menciona Lukas Stefanko, Malware Researcher de ESET.

La muestra analizada por ESET solicita solo un permiso intrusivo a la v铆ctima al momento de ser instalada: acceder a los contactos. La raz贸n podr铆a ser su intenci贸n de permanecer bajo el radar; por otro lado, el equipo de investigaci贸n cree que podr铆a indicar ser la fase anterior de un ataque de spearphishing realizado a trav茅s de mensajes de texto. Si el actor de amenazas ampl铆a los permisos de la aplicaci贸n, tambi茅n ser铆a capaz de filtrar otro tipo de datos de los tel茅fonos afectados, como mensajes SMS, ubicaci贸n del dispositivo, llamadas telef贸nicas grabadas y mucho m谩s.

Esta aplicaci贸n maliciosa para Android se distribuye a trav茅s de un sitio web falso que copia el dise帽o de un sitio leg铆timo que ofrece art铆culos y libros traducidos del ingl茅s al persa (downloadmaghaleh.com). Seg煤n la informaci贸n de contacto del sitio web leg铆timo, este servicio se brinda desde Ir谩n, lo que lleva a creer que el sitio web falso fue dise帽ado para atraer a usuarios. El prop贸sito de los atacantes con este falso sitio es ofrecer una aplicaci贸n para Android que es posible descargar despu茅s de hacer clic en un bot贸n que dice, en persa, “Descargar la aplicaci贸n”. El bot贸n tiene el logotipo de Google Play, pero la aplicaci贸n no est谩 disponible en la tienda oficial de Google para Android; sino que se descarga directamente desde el servidor del atacante. La aplicaci贸n fue cargada a VirusTotal y desde ah铆 se activ贸 una de las reglas YARA de ESET, lo que dio la oportunidad de analizarla.

De acuerdo a la 煤ltima informaci贸n disponible en el directorio abierto de descarga de la APK en el falso sitio web, desde ESET infieren que esta aplicaci贸n ha estado disponible para su descarga al menos desde el 21 de junio de 2021.

FurBall, el malware para Android utilizado en esta operaci贸n desde que comenzaron estas campa帽as, fue creado sobre la base de la herramienta de stalkerware KidLogger , la cual est谩 disponible para la venta. Seg煤n el equipo de investigaci贸n de ESET, los desarrolladores de FurBall se inspiraron en la versi贸n de c贸digo abierto de hace siete a帽os que est谩 disponible en Github.

“La campa帽a Domestic Kitten todav铆a est谩 activa y utiliza falsos sitios web para dirigirse a los usuarios de la aplicaci贸n. El objetivo de los operadores detr谩s de esta campa帽a ha cambiado ligeramente y pas贸 de distribuir spyware para Android con todas las funciones a una variante m谩s ligera. Solicita solo un permiso intrusivo, que es para acceder a los contactos, con lo cual probablemente no despierte demasiadas sospechas en las posibles v铆ctimas durante el proceso de instalaci贸n. Esta tambi茅n podr铆a ser la primera etapa de recopilaci贸n de contactos a los que podr铆a seguir el spearphishing a trav茅s de mensajes de texto. Adem谩s de reducir las funcionalidades de su aplicaci贸n, los creadores del malware intentaron disminuir la cantidad de detecciones mediante la implementaci贸n de un esquema de ofuscaci贸n de c贸digo simple para ocultar sus intenciones de las soluciones de seguridad para dispositivos m贸viles.”, concluye Stefanko de ESET.