Se ha descubierto un nuevo tipo de malware de banca electrónica que abusa de las funciones de accesibilidad de Android para filtrar datos confidenciales de aplicaciones financieras, leer mensajes SMS de usuarios y secuestrar códigos de autenticación de dos factores basados en SMS.
Llamado “EventBot” por los investigadores de Cybereason, el malware es capaz de apuntar a más de 200 aplicaciones financieras diferentes, incluyendo servicios bancarios, servicios de transferencia de dinero y billeteras de criptomonedas como Paypal Business, Revolut, Barclays, CapitalOne, HSBC, Santander, TransferWise y Coinbase, entre otros.
La campaña de distribución de este malware, identificada por primera vez en marzo de 2020, enmascara su intención maliciosa haciéndose pasar por aplicaciones legítimas (por ejemplo, Adobe Flash, Microsoft Word) en tiendas de APK falsas y otros sitios web sospechosos que, cuando están instalados, solicitan amplios permisos en el dispositivo.
Entre los permisos que solicita se incluyen el acceso a la configuración de accesibilidad, la capacidad de leer desde el almacenamiento externo, enviar y recibir mensajes SMS, ejecutarse en segundo plano y ejecutarse después del inicio del sistema.
Si un usuario otorga acceso, EventBot funciona como un keylogger y puede recuperar notificaciones enviadas a otras aplicaciones instaladas, así como el contenido de ventanas abiertas, además de explotar los servicios de accesibilidad de Android para obtener el PIN de la pantalla de bloqueo y transmitir todos los datos recopilados en un formato cifrado a un servidor controlado por el atacante.
La capacidad de analizar los mensajes SMS también hace que el troyano bancario sea una herramienta útil para evitar la autenticación de dos factores basada en SMS, lo que brinda a los ciberdelincuentes un fácil acceso a las billeteras de criptomonedas de la víctima, así como también posibilita el robo de fondos de las cuentas bancarias.
Esta no es la primera vez que un malware para móvil tiene como objetivo a los servicios financieros. El mes pasado, los investigadores de IBM X-Force detallaron una nueva campaña de TrickBot, llamada TrickMo, que se encontró exclusivamente dirigida a usuarios alemanes con malware que utilizaba mal las funciones de accesibilidad para interceptar una contraseña de un solo uso (OTP), TAN móvil (mTAN) y códigos de autenticación pushTAN.
La familia de aplicaciones maliciosas de EventBot no está activa en Google Play Store, esto debe ser otro recordatorio de por qué los usuarios deberían atenerse a las tiendas de aplicaciones oficiales y evitar la descarga de aplicaciones de fuentes no confiables. Mantener el software actualizado y activar Google Play Protect también puede contribuir en gran medida a proteger los dispositivos móviles tanto de este como otros tipos de malware.