Este año hemos visto muchas campañas de malware diferentes que han tratado de comprometer a los usuarios con aplicaciones maliciosas que se distribuyen en Google Play, la tienda oficial para Android.
Aunque a menudo son eliminadas a pocos días de ser reportadas a Google, logran infectar a cientos o miles de usuarios antes de que esto ocurra. Todas las aplicaciones enviadas a Google Play son analizadas automáticamente para bloquear aquellas con comportamiento malicioso, pero las últimas campañas que vimos usan técnicas menos obvias, como un timer que retrasa la actividad maliciosa(en este caso dos horas) para evadir las detecciones automatizadas de Google.
Reconocimiento
Este artículo se basa en la investigación conjunta que hicimos con Avast y SfyLabs, que también han publicado sus respectivos análisis de este tema.
En octubre y noviembre de 2017 nos encontramos con dos nuevas campañas que usaban droppers; la primera para ejecutar un malware bancario, y para esta segunda, recientemente descrita aquí en WeLiveSecurity, añadiremos nuevos IoCs al final de este artículo.
Los droppers de las campañas previas eran mucho más sofisticados, ya que usaban los Servicios de Accesibilidad de Android para hacer clics en segundo plano y habilitar la instalación de aplicaciones desde fuentes desconocidas. Este nuevo dropper no tiene esa capacidad y depende de que el usuario tenga la descarga desde fuentes desconocidas ya habilitada.
Si no lo está, no podrá instalar el malware BankBot, por lo que el usuario no se verá amenazado. Si la opción está habilitada, se instalará el malware, que es básicamente el mismo que describió Trend Micro en septiembre.
Algo interesante es que, aunque el dropper de Tornado FlashLight (com.andrtorn.app) fue eliminado de la tienda, no es detectado por su mecanismo Google Play Protect.
Lo mismo sucede con el malware que descarga el dropper com.vdn.market.plugin.upd, lo que significa que la aplicación que funciona como dropper y el malware aún pueden instalarse desde ubicaciones de terceros y ejecutarse sin interferencias, a menos que el dispositivo ejecute un software de seguridad adecuado.
Análisis detallado
Cuando se inicia por primera vez el dropper, comprobará las aplicaciones instaladas contra una lista hardcodeada de 160 aplicaciones. Solo pudimos identificar 132 de ellas, ya que los nombres de los paquetes no están incluidos en el dropper, sino solo sus hashes.
La lista de paquetes a los que se tiene como blanco se ha mantenido igual desde la campaña descrita por Trend Micro. Si una o más de las aplicaciones listadas se instalan cuando se cierra la aplicación dropper, se iniciará el servicio con la funcionalidad del dropper.
El dropper ejecutará la misma verificación en el arranque del dispositivo y, si tiene éxito, también iniciará el servicio. El servicio solicitará primero permisos de administrador al usuario y, luego de obtenerlos, continuará con la rutina de descarga.
El APK de BankBot, que es el mismo para todos los ejemplos de dropper, se descarga desde hxxp://138.201.166.31/kjsdf.tmp. La descarga solo se desencadena dos horas después de que se hayan otorgado los derechos de administrador del dispositivo al dropper.
Una vez que se completa la descarga, el dropper tratará de instalar el APK, usando el mecanismo estándar de Android para instalar aplicaciones por fuera de Google Play. Además de requerir la habilitación de fuentes desconocidas, este método requiere que el usuario presione un botón para continuar la instalación.
Mirando el nombre y el ícono del paquete para instalar, asumimos que los atacantes están tratando de hacer creer al usuario que se trata de una actualización de Google Play. Una vez que la instalación está terminada, el nuevo APK solicita los derechos de administrador del dispositivo y luego el ataque continúa.
Si la instalación de fuentes desconocidas no está habilitada, Android mostrará un mensaje de error y el proceso fallará.
¿Cómo evitar ser víctima de esta amenaza?
En primer lugar, siempre es bueno instalar aplicaciones que estén verificadas o sean de desarrolladores conocidos, y elegir la tienda oficial Google Play ya que la mayoría de los programas maliciosos se distribuyen principalmente en tiendas alternativas.
En segundo lugar, a menos que sepas exactamente lo que estás haciendo, no actives la opción de “fuentes desconocidas”. Si una aplicación o alguien en quien no confías te pide hacer esto, lo más probable es que esté relacionado con malware.
Pero, ¿y si quieres instalar una aplicación de Google Play, cómo saber que no es maliciosa? Para el usuario típico, recomendamos utilizar una solución de seguridad para detectar el malware detectado que aún no ha sido bloqueado por Google. Además, hay otras cosas que puedes controlar para disminuir el riesgo de infección.
Primero, asegúrate de que la aplicación tenga muchos usuarios y buenas críticas. La mayoría del malware no permanece mucho tiempo en la tienda y no tendrá muchos usuarios.
Luego, después de instalar la aplicación, toma nota de varias cosas: la mayoría de los programas maliciosos solicitarán convertirse en administradores del dispositivo (no otorgues este permiso, ya que se puede usar para evitar que se eliminen).
Otros tipos de malware pueden solicitar permisos para el servicio de accesibilidad, lo que permitiría simular la interacción del usuario con el dispositivo, para básicamente tomar el control. Otro indicador es si el ícono de la aplicación desaparece después de la primera vez que la inicias, ya que el malware generalmente hace esto para ocultarse.
Fuente:https://www.welivesecurity.com/la-es/2017/11/21/malware-bancario-via-google-play/
Entusiasta de la seguridad cibernética. Especialista en seguridad de la información, actualmente trabajando como especialista en infraestructura de riesgos e investigador.
Experiencia en procesos de riesgo y control, soporte de auditoría de seguridad, diseño y soporte de COB (continuidad del negocio), gestión de grupos de trabajo y estándares de seguridad de la información.
Envía tips de noticias a info@noticiasseguridad.com o www.instagram.com/iicsorg/.
También puedes encontrarnos en Telegram www.t.me/noticiasciberseguridad
