Un grupo de investigadores del Centro de Respuesta a Incidentes de Ciberseguridad (CRIL) identificó un nuevo troyano bancario denominado «Brokewell». El malware se disfraza como una actualización del navegador Google Chrome.
Características y funcionamiento
El troyano está dirigido principalmente a usuarios en Alemania, aunque muestra signos de posible expansión global. Fue descubierto en un sitio de phishing que imita la página oficial de actualizaciones de Chrome. Los usuarios son engañados para descargar un archivo APK malicioso denominado «Chrome.apk» bajo la premisa de una actualización necesaria para corregir «vulnerabilidades importantes».
Funcionalidades del malware
- Posee funciones avanzadas, incluyendo grabación de pantalla y audio, registro de teclas, recolección de datos del teléfono, gestión de llamadas y captura de credenciales bancarias mediante una falsa pantalla de PIN.
- La pantalla de PIN falsa está inicialmente localizada en alemán, lo que sugiere una focalización geográfica.
- Se encontraron cadenas en otros idiomas como chino, francés, finlandés, árabe, indonesio, sueco, portugués e inglés.
Comunicación y desarrollo
El troyano se comunica con un servidor de comando y control alojado en la dirección «mi6[.]operationanonrecoil[.]ru». El análisis del código fuente, encontrado en un repositorio git, revela su desarrollo activo y capacidad para eludir las restricciones de permisos en las versiones 13, 14 y 15 de Android.
Redes y canales utilizados
Se encontraron enlaces a perfiles en foros subterráneos, una página Tor y un canal de Telegram.
Detección y evolución del malware bancario
La detección del troyano subraya la evolución constante del malware bancario y la necesidad de vigilancia por parte de los usuarios y profesionales de seguridad. Los investigadores no observaron ninguna mención del troyano en el sitio web de los desarrolladores, lo que sugiere que es un desarrollo reciente que podría aparecer en los próximos días.