Una nueva campaña de spyware denominada «eXotic Visit» ha surgido con el objetivo específico de afectar a usuarios de dispositivos Android en la región de India y Pakistán.
Distribución y duración de la campaña
La campaña se distribuye principalmente a través de sitios web especializados y también mediante la Google Play Store. Según investigadores de la firma de seguridad informática eslovaca ESET, la campaña eXotic Visit ha estado activa desde noviembre de 2021.
Características del malware
No se ha identificado una conexión directa con algún actor o grupo de amenazas conocido previamente. Las aplicaciones infectadas ofrecen funcionalidades legítimas pero contienen código del Remote Access Trojan (RAT) XploitSPY, disponible en código abierto para Android.
Aplicaciones falsas y nombres engañosos
Estas aplicaciones se presentan bajo la fachada de servicios de mensajería y utilitarios, incluyendo nombres como Alpha Chat, ChitChat, Defcom, Dink Messenger, Signal Lite, TalkU, WeTalk, Wicker Messenger y Zaangi Chat.
Origen del código malicioso
El RAT XploitSPY fue desarrollado por RaoMK y está vinculado con una empresa de seguridad informática india llamada XploitWizer.
Datos recolectados por el spyware
Este software malicioso es conocido por su capacidad para recolectar datos sensibles de los dispositivos infectados, incluyendo ubicaciones GPS, grabaciones de micrófono, contactos, mensajes SMS y registros de llamadas.
Evolución del malware
A lo largo de los años, el código malicioso ha evolucionado incorporando técnicas como ofuscación, detección de emuladores, ocultación de direcciones [de comando y control] y uso de biblioteca nativa.
Impacto regional
La campaña eXotic Visit resalta la creciente amenaza del spyware en dispositivos móviles, especialmente en regiones con disputas geopolíticas como el sur de Asia.
Mitigaciones disponibles
La eliminación de las aplicaciones infectadas de la Google Play Store es un paso positivo.