ESET, compañía líder en detección proactiva de amenazas, descubrió una
campaña espía que utiliza una aplicación maliciosa para Android -a la que ESET
llamó GhostChat- disfrazada de aplicación de chat. La
plataforma permite a los usuarios iniciar conversaciones con determinados
perfiles femeninos que, en realidad, serían cuentas falsas operadas a través de
WhatsApp. Detrás de la fachada romántica, el verdadero propósito de la
aplicación es habilitar la vigilancia encubierta, que permite monitorizar la
actividad del dispositivo y filtrar datos confidenciales de forma continua,
mientras la aplicación este instalada.
“La campaña
utiliza un nivel de engaño no observado previamente en esquemas similares: los
perfiles falsos se presentan a las víctimas potenciales como bloqueados y
requieren un código de acceso. Se trata de una táctica de ingeniería social
para crear la impresión de “acceso exclusivo”. Aunque no sabemos
cómo se distribuye la aplicación maliciosa, suponemos que esta táctica de
exclusividad se utiliza como parte del señuelo, con los supuestos códigos de
acceso distribuidos junto con la aplicación”, comenta Martina López, investigadora
de Seguridad Informática de ESET Latinoamérica.
El ataque
comienza con la distribución de la aplicación maliciosa disfrazada, que simula
ser una plataforma de chat legítima llamada Dating Apps sin pago disponible en Google Play y usurpa su
identidad al utilizar su icono. Tras su ejecución, GhostChat, solicita varios
permisos. Una vez concedidos los permisos, la aplicación presenta al usuario
una pantalla de inicio de sesión. Para continuar, las víctimas deben introducir
sus credenciales de inicio de sesión.
La aplicación
maliciosa nunca estuvo disponible en Google Play y requería la instalación
manual por parte de los usuarios, que tenían que habilitar los permisos para
instalar aplicaciones de fuentes desconocidas. Una vez instalada la aplicación,
sus operadores pueden monitorizar y extraer datos confidenciales del
dispositivo de la víctima. Aunque la campaña parece estar centrada en Pakistán,
desde ESET comentan que carecen de pruebas suficientes para atribuirla a un
actor de amenazas específico. “GhostChat, nunca estuvo disponible en Google
Play ya que como socio de App Defense Alliance, ESET compartes sus hallazgos
con Google. Los usuarios de Android están protegidos automáticamente contra las
versiones conocidas de este spyware por Google Play Protect, que está activado por defecto en los
dispositivos Android con Google Play Services”, agrega López de ESET.
Una vez iniciada
la sesión, a las víctimas se les presenta una selección de 14 perfiles
femeninos, cada uno de ellos con foto, nombre y edad. Todos los perfiles están
marcados como Bloqueados, y al pulsar sobre uno de ellos se pide a la víctima
que introduzca un código de desbloqueo.
Estos códigos de
desbloqueo están hardcodeados y no se validan de forma remota, según ESET probablemente
se comparten de forma previa con la víctima. Cada perfil está vinculado a un
número de WhatsApp específico con un código de país pakistaní (+92). Los
números están integrados en la aplicación, y no pueden modificarse a distancia,
lo que sugiere que el operador posee varias tarjetas SIM pakistaníes o tiene
acceso a un proveedor externo que las vende. El uso de números locales refuerza
la ilusión de que los perfiles son personas reales establecidas en Pakistán y
aumenta la credibilidad de la estafa.
Al introducir el
código correcto, la aplicación redirige al usuario a WhatsApp para iniciar una
conversación con el número asignado, presumiblemente operado por el actor de la
amenaza según ESET. Mientras la víctima interactúa con la aplicación, incluso
antes de iniciar sesión, el spyware GhostChat se ejecuta en segundo plano y
supervisa silenciosamente la actividad del dispositivo y filtra datos
confidenciales a un servidor de C&C.
“Más allá de la
exfiltración inicial, GhostChat se dedica al espionaje activo: configura un
observador de contenidos para supervisar las imágenes recién creadas y las
carga a medida que aparecen. Además, programa una tarea periódica que busca
nuevos documentos cada cinco minutos, lo que garantiza la vigilancia continua y
la recopilación de datos”, asegura Martina de ESET.
Comentarios
Publicar un comentario