Los investigadores de seguridad están haciendo sonar la alarma sobre un malware Android, llamado EventBot. Fue recién descubierto por la firma de seguridad Cybereason y se dirige a aplicaciones bancarias y billeteras de criptomonedas.
¿Cómo funciona EventBot?
El malware se hace pasar por una aplicación legítima de Android como Adobe Flash o Microsoft Word para Android. ¿Qué hacen estas supuestas aplicaciones legítimas? Abusan de las funciones de accesibilidad incorporadas de Android para obtener un acceso profundo al sistema operativo del móvil.
Una vez instalada, ya sea por un usuario desprevenido o por una persona maliciosa con acceso al teléfono de la víctima, la aplicación falsa infectada por EventBot extrae silenciosamente las contraseñas de más de 200 aplicaciones bancarias y de criptomonedas. ¿Cómo cuáles? Como PayPal, Coinbase, CapitalOne y HSBC, e intercepta y códigos de mensajes de texto de autenticación de dos factores.
Con la contraseña de una víctima y el código de dos factores, los piratas informáticos pueden ingresar a cuentas bancarias, aplicaciones y billeteras, y robar los fondos de una víctima.
«El desarrollador detrás de Eventbot ha invertido mucho tiempo y recursos en la creación del código, y el nivel de sofisticación y capacidades es realmente alto», dijo Assaf Dahan, jefe de investigación de amenazas en Cybereason a TechCrunch.
El malware registra silenciosamente cada pulsación de teclas. También puede leer notificaciones de otras aplicaciones instaladas. Esto le da los piratas informáticos una ventana de lo que está sucediendo en el móvil de una víctima.
Con el tiempo, el malware desvía las contraseñas de las aplicaciones bancarias y de criptomonedas al servidor de los piratas informáticos.
El malware fue descubierto en marzo
Los investigadores dijeron que EventBot sigue siendo un trabajo en progreso. Durante un período de varias semanas desde su descubrimiento en marzo, los investigadores vieron que el malware se actualizaba iterativamente cada pocos días para incluir nuevas características maliciosas.
En un momento, los creadores del malware mejoraron el esquema de encriptación que usa para comunicarse con el servidor de los hackers. También incluyeron una nueva característica que puede obtener el código de bloqueo del teléfono de un usuario. Esto probablemente le permita al malware otorgar mayores privilegios al móvil de la víctima. ¿Cómo cuáles? Como pagos y configuraciones del sistema.
Pero aunque los investigadores no saben quién está detrás de la campaña, su investigación sugiere que el malware es completamente nuevo.
«Hasta ahora, no hemos observado casos claros de copia-pegado o reutilización de código de otro malware y parece que se ha escrito desde cero», dijo Dahan.
EventBot está aumentando
El malware de Android no es nuevo, pero está en aumento. Los hackers y los operadores de malware se han dirigido cada vez más a los usuarios de móviles. ¿Por qué? Porque muchos propietarios de móviles tienen sus aplicaciones bancarias, redes sociales y otros servicios sensibles en sus teléfonos.
Google ha mejorado la seguridad de Android en los últimos años mediante la detección de aplicaciones en su tienda de aplicaciones y el bloqueo proactivo de aplicaciones de terceros para reducir el malware, con resultados mixtos. Muchas aplicaciones maliciosas han evadido la detección de Google.
Cybereason dijo que aún no ha visto EventBot en la tienda de aplicaciones de Android o en uso activo en campañas de malware. Esto limita la exposición a posibles víctimas, por ahora.
Pero los investigadores dijeron que los usuarios deberían evitar las aplicaciones no confiables de sitios y tiendas de terceros. Muchas de las cuales no detectan sus aplicaciones en busca de malware.
:)