Programari maliciós mòbil DroidBot

Una nova i preocupant amenaça bancària d'Android, coneguda com DroidBot, està fent onades dirigint-se als intercanvis de criptomonedes i a les aplicacions bancàries al Regne Unit, Itàlia, França, Espanya i Portugal. Inicialment descobert per investigadors de ciberseguretat el juny de 2024, DroidBot funciona com una plataforma de programari maliciós com a servei (MaaS), que ofereix les seves capacitats malicioses als afiliats per un alt import de 3.000 dòlars al mes.

Tot i no tenir funcions innovadores, l'ús i la funcionalitat generalitzats de DroidBot el converteixen en una preocupació important. Una anàlisi d'una de les seves botnets va revelar 776 infeccions úniques a diversos països europeus, inclosos Turquia i Alemanya. El programari maliciós també mostra signes d'expansió a noves regions, com ara Amèrica Llatina.

Com DroidBot MaaS apodera els cibercriminals

Els desenvolupadors de DroidBot, que es creu que estan basats a Turquia, han creat una plataforma MaaS que redueix les barreres perquè els ciberdelinqüents executin atacs sofisticats. Els afiliats tenen accés a un conjunt complet d'eines, que inclouen:

• Un creador de programari maliciós per personalitzar les càrregues útils per a objectius específics.
• Servidors de comandament i control (C2) per a la gestió d'operacions.
• Un panell d'administració central per recuperar dades recollides i emetre ordres.

Els investigadors han identificat 17 grups afiliats amb DroidBot, tots els quals operen en una infraestructura C2 compartida amb identificadors únics per fer un seguiment de les activitats. Els afiliats reben una àmplia documentació, assistència i actualitzacions periòdiques mitjançant un canal de Telegram, creant un sistema de baix esforç i alta recompensa per als atacants.

Sigil i engany: les disfresses de DroidBot

Per infiltrar-se en els dispositius dels usuaris, DroidBot sovint es fa passar per aplicacions legítimes, com ara Google Chrome, Google Play Store o fins i tot els serveis de seguretat d'Android. Un cop instal·lat, funciona com un troià, recopilant informació sensible de les aplicacions dirigides.

Les seves característiques bàsiques permeten als atacants executar una sèrie d'activitats malicioses, com ara:

• Registre de tecles : captura totes les pulsacions de tecles introduïdes al dispositiu infectat.
• Atacs de superposició : visualització de pantalles d'inici de sessió falses sobre interfícies d'aplicacions legítimes per obtenir credencials.
• Intercepció d'SMS : segrest de missatges SMS, especialment aquells que contenen OTP per a inicis de sessió bancaris.
• Control remot de dispositius : mitjançant un mòdul d'informàtica de xarxa virtual (VNC), els afiliats poden veure i controlar de manera remota els dispositius infectats, executar ordres i enfosquir les seves accions enfosquint la pantalla.

Aprofitament dels serveis d’accessibilitat

DroidBot depèn en gran mesura dels serveis d'accessibilitat d'Android, una funció dissenyada per ajudar els usuaris amb discapacitats a supervisar les accions i simular lliscars o tocs. Aquest mal ús subratlla la importància d'escrutar les aplicacions que sol·liciten permisos inusuals durant la instal·lació. Si una aplicació demana accés als serveis d'accessibilitat sense un propòsit clar, els usuaris haurien de denegar immediatament la sol·licitud i desinstal·lar l'aplicació si cal.

Objectius d’alt valor: aplicacions bancàries i criptogràfiques

L'abast de DroidBot s'estén a 77 aplicacions bancàries i criptomonedes d'alt perfil. Alguns objectius notables inclouen:

• Intercanvis de criptomonedes: Binance, KuCoin i Kraken.
• Aplicacions bancàries: BBVA, Unicredit, Santander, BNP Paribas i Credit Agricole.
• Carteres digitals: Metamask.

Aquestes aplicacions allotgen dades financeres sensibles, la qual cosa les converteix en objectius principals per als ciberdelinqüents.

Com mantenir-se protegit

Mitigació d'amenaces com DroidBot requereix un enfocament proactiu:

• Seguiu les fonts oficials : baixa només aplicacions de Google Play Store.
• Reviseu els permisos : estigueu atents a les sol·licituds de permís inusuals, especialment les que involucren serveis d'accessibilitat.
• Activa Play Protect : assegureu-vos que aquesta funció de seguretat estigui activada al vostre dispositiu Android.

En adoptar aquestes pràctiques, els usuaris poden reduir significativament la seva exposició a amenaces com DroidBot i mantenir el control sobre les seves dades sensibles. A mesura que DroidBot continua evolucionant i ampliant el seu abast, mantenir-se informat i prudent continua sent fonamental per defensar-se de les seves tàctiques enganyoses.