Un nuevo troyano bancario denominado «Antidot» está propagándose en dispositivos Android. El malware se disfraza de una actualización de Google Play para propagarse.
Propagación y engaño del usuario
Antidot muestra páginas falsas de actualización de Google Play en varios idiomas, como alemán, francés, español, ruso, portugués, rumano e inglés. El malware utiliza ataques de superposición y técnicas de keylogging para robar datos financieros sensibles de los usuarios.
Funcionamiento del troyano
Los ataques de superposición crean interfaces falsas que imitan aplicaciones legítimas, engañando a los usuarios para que ingresen su información. El keylogging captura cada pulsación de tecla realizada por el usuario.
Comunicación con el servidor C2
El malware utiliza un servicio de «Accesibilidad» para funcionar. Una vez instalado y concedido el permiso por la víctima, establece comunicación con su servidor de comando y control (C2) para recibir órdenes.
Recopilación de datos
El servidor registra el dispositivo con una ID de bot para una comunicación continua. El malware envía una lista de nombres de paquetes de aplicaciones instaladas al servidor, que identifica aplicaciones objetivo.
Explotación del usuario
Al identificar un objetivo, el servidor envía una URL de inyección de superposición (una página de phishing HTML) que se muestra a la víctima cada vez que abre la aplicación genuina. Cuando las víctimas ingresan sus credenciales en esta página falsa, el módulo keylogger transmite los datos al servidor C2, permitiendo que el malware recoja las credenciales.
Características técnicas
- Lo que distingue a Antidot es su uso de WebSocket para mantener la comunicación con su servidor C2, lo que permite una interacción bidireccional en tiempo real para ejecutar comandos.
- Entre los comandos ejecutados por Antidot se encuentran la recopilación de mensajes SMS, la iniciación de solicitudes USSD y el control remoto de características del dispositivo, como la cámara y el bloqueo de pantalla.
- El malware también implementa VNC utilizando MediaProjection para habilitar el control remoto de dispositivos infectados.
Riesgos asociados
El control remoto de dispositivos infectados permite a los atacantes ejecutar una cadena de fraude completa. Pueden monitorizar actividades en tiempo real, realizar transacciones no autorizadas, acceder a información privada y manipular el dispositivo como si lo estuvieran sosteniendo físicamente.
Recomendaciones de seguridad
Se recomienda al usuario que evite hacer descargas desde sitios no oficiales. La utilización de antivirus para Android como Koodous puede ayudar a mantenerse protegido.