Investigadores han identificado nuevas campañas de phishing que utilizan malware bancario, activas desde julio de 2023. Las actividades del malware están creciendo hasta la actualidad.
Campañas y botnets
Los ataques se han llevado a cabo mediante cinco botnets diferentes operadas por diversos grupos ciberdelincuentes. Las muestras analizadas se centran en usuarios de Canadá, Francia, Italia, España, Turquía, Reino Unido y Estados Unidos.
Características del malware
El malware conocido como Medusa también es llamado TangleBot. Medusa, un malware sofisticado para Android descubierto en julio de 2020, se dirige principalmente a entidades financieras en Turquía. Sus capacidades incluyen técnicas habituales para realizar fraude mediante ataques de superposición para robar credenciales bancarias.
El malware se difunde a través de aplicaciones dropper disfrazadas como falsas actualizaciones. Servicios legítimos como Telegram y X se utilizan como resolutores de punto muerto para recuperar el servidor de comando y control (C2) utilizado para la exfiltración de datos.
Mejoras en evasión
Un cambio notable es la reducción en el número de permisos solicitados, aparentemente como esfuerzo por disminuir las posibilidades de detección. El malware requiere la API de servicios de accesibilidad de Android, lo que le permite habilitar otros permisos de manera encubierta según sea necesario.
Capacidades del malware
La capacidad de establecer una superposición de pantalla negra en el dispositivo de la víctima para dar la impresión de que está bloqueado o apagado. Los clusters de botnets de Medusa suelen depender de enfoques probados como el phishing para propagar el malware.
Distribución y expansión
Se ha observado que las nuevas oleadas lo propagan a través de aplicaciones dropper descargadas de fuentes no confiables. Minimizar los permisos requeridos evade la detección y parece más benigno, mejorando su capacidad para operar sin ser detectado durante períodos prolongados.
Expansión geográfica
Geográficamente, el malware se está expandiendo a nuevas regiones, como Italia y Francia, lo que indica un esfuerzo deliberado por diversificar su grupo de víctimas y ampliar su superficie de ataque.
Otras campañas similares
Symantec reveló que se están utilizando falsas actualizaciones del navegador Chrome para Android como señuelo para desplegar el troyano bancario Cerberus. Se han observado campañas similares distribuyendo aplicaciones falsas de Telegram a través de sitios web fraudulentos, distribuyendo otro malware para Android llamado SpyMax.
SpyMax es una herramienta de administración remota (RAT) que tiene la capacidad de recopilar información personal/privada del dispositivo infectado sin el consentimiento del usuario y enviarla a un actor de amenazas remoto.