Investigadores de Check Point Research, la División de Inteligencia de Amenazas de Check Point Software Technologies Ltd., proveedor líder especializado en ciberseguridad a nivel mundial, ha descubierto recientemente una nueva amenaza maliciosa en Google Play Store que se propagaba a través de los mensajes de WhatsApp.
El malware estaba diseñado con capacidad para responder automáticamente a los mensajes entrantes con mensajes provenientes de un servidor remoto en nombre de sus víctimas. CPR encontró el software malicioso escondido en una aplicación falsa de "Netflix" en Play Store llamada FlixOnline, que prometía "entretenimiento ilimitado" desde cualquier parte del mundo.
Al responder a los mensajes entrantes de WhatsApp con una payload o carga útil de un servidor de comando y control (C&C), este método podría permitir a los ciberdelincuentes distribuir ataques de phishing, propagar malware adicional difundir información falsa o robar credenciales y datos bancarios, así como tener acceso a las conversaciones de los usuarios.
La seguridad de los dispositivos móviles es una de las principales preocupaciones de las empresas en la actualidad, y por una buena razón. En el último año, los investigadores de CPR han observado un aumento del número de ataques relacionados con los dispositivos móviles y de nuevos métodos de ataque. Desde un nuevo malware encontrado en Google Play, hasta una investigación que desvela el APT iraní Rampant Kitten, el panorama de las amenazas móviles está en constante crecimiento.
A medida que el panorama de los ciberataques a los dispositivos móviles evoluciona, los ciberdelincuentes buscan siempre desarrollar nuevas técnicas para transformar y distribuir con éxito programas maliciosos.
En el caso de esta última acción, los investigadores de Check Point han descubierto una nueva e innovadora amenaza maliciosa en la tienda de aplicaciones de Google Play que se propaga a través de las conversaciones de WhatsApp móvil, y que también puede enviar más ciberataques a través de respuestas automáticas a los mensajes de WhatsApp entrantes.
Los investigadores han encontrado el malware escondido dentro de una aplicación que se encuentra en Google Play llamada "FlixOnline'". La app es un servicio falso que dice permitir a los usuarios ver contenidos de Netflix de todo el mundo en sus teléfonos móviles.
Sin embargo, en realidad la aplicación está diseñada para monitorizar las notificaciones de WhatsApp del propietario y enviar respuestas automáticas a los mensajes entrantes del mismo, utilizando el contenido que recibe por medio de un servidor remoto de comando y control (C&C).
Dicho malware enviaba la siguiente respuesta a sus víctimas, atrayéndolas con la oferta de un servicio gratuito de Netflix:
Mediante esta técnica, un ciberdelincuente podía llevar a cabo una amplia gama de actividades maliciosas:
Cuando la aplicación se descarga de la Play Store y se instala, esta solicita permisos de 'Superposición', para 'Ignorar Optimización de la Batería' y 'Notificación'. El propósito detrás de la obtención de dichos permisos es:
CPR ha notificado a Google de la existencia de la aplicación maliciosa y ha compartido los detalles de su investigación, por lo que la aplicación se ha eliminado rápidamente de la Play Store. En el transcurso de 2 meses, la aplicación "FlixOnline" se ha descargado aproximadamente 500 veces.
"Se trata de una técnica de malware bastante nueva e innovadora que consiste en secuestrar la conexión a WhatsApp capturando las notificaciones, junto con la posibilidad de realizar acciones predefinidas, como 'descartar' o 'responder' a través del gestor de notificaciones. El hecho de que el software malicioso haya podido camuflarse con tanta facilidad y, en última instancia, eludir las protecciones de Play Store, dispara serias alarmas. Aunque hemos podido detener una campaña, es probable que esta familia de malware haya llegado para quedarse y puede volver a esconderse en una aplicación diferente", destaca Antonio Amador, Country Manager para la Región Norte de América Latina de Check Point".
"Para evitar que estos ataques tengan éxito, los usuarios deben desconfiar de los enlaces de descarga o los archivos adjuntos que reciban a través de WhatsApp u otras aplicaciones de mensajería, incluso cuando parezcan proceder de contactos o grupos de confianza. Si crees que eres una víctima, elimina inmediatamente la aplicación del dispositivo, y cambia todas las contraseñas", concluye Nieva.
Check Point Harmony Mobile (anteriormente conocido como SandBlast Mobile) es la solución líder del mercado de Defensa contra Amenazas Móviles (MTD), que ofrece la más amplia gama de capacidades para proteger un dispositivo móvil personal. Harmony Mobile proporciona protección para todos los vectores de ataque móviles, incluyendo la descarga de aplicaciones maliciosas y aplicaciones con malware incrustado.