Investigadores de Check Point Research (CPR) descubrió recientemente una nueva amenaza maliciosa en Google Play Store que se propagaba a través de los mensajes de WhatsApp. El malware estaba diseñado con capacidad para responder automáticamente a los mensajes entrantes con mensajes provenientes de un servidor remoto en nombre de sus víctimas.

CPR encontró el software malicioso escondido en una aplicación falsa de “Netflix” en Play Store llamada FlixOnline, que prometía “entretenimiento ilimitado” desde cualquier parte del mundo.

Al responder a los mensajes entrantes de WhatsApp con una payloado carga útil de un servidor de comando y control (C&C), este método podría permitir a los ciberdelincuentes distribuir ataques de phishing, propagar malware adicional difundir información falsa o robar credenciales y datos bancarios, así como tener acceso a las conversaciones de los usuarios.

Dicho malware enviaba la siguiente respuesta a sus víctimas, atrayéndolas con la oferta de un servicio gratuito de Netflix: 

“2 Months of Netflix Premium Free at no cost For REASON OF QUARANTINE (CORONA VIRUS)* Get 2 Months of Netflix Premium Free anywhere in the world for 60 days. Getitnow HERE https://bit[.]ly/3bDmzUw.”

“2 Meses de Netflix Premium Gratis Por Motivo de Cuarentena (CORONA VIRUS) * Consigue 2 Meses de Netflix Premium gratis en cualquier parte del mundo durante 60 días. Consíguelo ahora AQUÍ https://bit[.]ly/3bDmzUw”.

Mediante esta técnica, un ciberdelincuente podía llevar a cabo una amplia gama de actividades maliciosas:

• Propagar malware adicional a través de enlaces maliciosos
• Robar datos de las cuentas de WhatsApp de los usuarios
• Difundir mensajes falsos o maliciosos a los contactos y grupos de WhatsApp de los usuarios (por ejemplo, grupos relacionados con el trabajo)

Cómo funciona el malware

Cuando la aplicación se descarga de la Play Store y se instala, esta solicita permisos de ‘Superposición’, para ‘Ignorar Optimización de la Batería’ y ‘Notificación’. El propósito detrás de la obtención de dichos permisos es:

1. La superposición permite a una aplicación maliciosa crear nuevas ventanas encima de otras aplicaciones. Suele solicitarlo e lsoftware malicioso para crear una pantalla de “Inicio de sesión” falsa para otras aplicaciones, con el objetivo de robar las credenciales de la víctima.
2. Ignorar las optimizaciones de la batería evita que el malware se apague por la propia rutina de la misma, incluso después de estar inactivo durante un período prolongado.
3. El permiso más destacado es el acceso a las notificaciones, más concretamente, al servicio Notification Listener. Una vez habilitado, este permiso proporciona al malware acceso a todas las notificaciones relacionadas con los mensajes enviados al dispositivo, y la capacidad de realizar automáticamente acciones designadas como “descartar” y “responder” a los mismos.

Si se conceden estos permisos, el malware tiene todo lo que necesita para empezar a distribuir sus payloads maliciosos y emitir respuestas auto generadas a los mensajes entrantes de WhatsApp, a través de las que es posible robar datos, causar interrupciones en grupos de chat e incluso extorsionar enviando datos sensibles a todos los contactos del usuario.

CPR ha notificado a Google de la existencia de la aplicación maliciosa y ha compartido los detalles de su investigación, por lo que la aplicación se ha eliminado rápidamente dela Play Store. En el transcurso de dos meses, la aplicación “FlixOnline” se ha descargado aproximadamente 500 veces.

Consejos de seguridad para usuarios de Android

1. Instalar una solución de seguridad en el dispositivo
2. Descargar aplicaciones sólo de los mercados oficiales
3. Mantener el dispositivo y las aplicaciones actualizadas