ESET descubrió una campaña espía que utiliza una app maliciosa para Android -a la que ESET llamó GhostChat- disfrazada de aplicación de chat. La plataforma permite a los usuarios iniciar conversaciones con determinados perfiles femeninos que, en realidad, serían cuentas falsas operadas a través de WhatsApp. Detrás de la fachada romántica, el verdadero propósito de la aplicación es habilitar la vigilancia encubierta, que permite monitorizar la actividad del dispositivo y filtrar datos confidenciales de forma continua, mientras la aplicación este instalada.

“La campaña utiliza un nivel de engaño no observado previamente en esquemas similares: los perfiles falsos se presentan a las víctimas potenciales como bloqueados y requieren un código de acceso. Se trata de una táctica de ingeniería social para crear la impresión de “acceso exclusivo”. Aunque no sabemos cómo se distribuye la app maliciosa, suponemos que esta táctica de exclusividad se utiliza como parte del señuelo, con los supuestos códigos de acceso distribuidos junto con la app”, comenta Martina López, Investigadora de Seguridad Informática de ESET Latinoamérica.

El ataque comienza con la distribución de la aplicación maliciosa disfrazada, que simula ser una plataforma de chat legítima llamada Dating Apps sin pago disponible en Google Play y usurpa su identidad al utilizar su icono. Tras su ejecución, GhostChat, solicita varios permisos. Una vez concedidos los permisos, la aplicación presenta al usuario una pantalla de inicio de sesión. Para continuar, las víctimas deben introducir sus credenciales de inicio de sesión.GhostChat solicita varios permisos al ejecutarse. Abajo: Pantalla de inicio de sesión de GhostChat.

La aplicación maliciosa nunca estuvo disponible en Google Play y requería la instalación manual por parte de los usuarios, que tenían que habilitar los permisos para instalar aplicaciones de fuentes desconocidas. Una vez instalada la aplicación, sus operadores pueden monitorizar y extraer datos confidenciales del dispositivo de la víctima. Aunque la campaña parece estar centrada en Pakistán, desde ESET comentan que carecen de pruebas suficientes para atribuirla a un actor de amenazas específico. “GhostChat, nunca estuvo disponible en Google Play ya que como socio de App Defense Alliance, ESET compartes sus hallazgos con Google. Los usuarios de Android están protegidos automáticamente contra las versiones conocidas de este spyware por Google Play Protect, que está activado por defecto en los dispositivos Android con Google Play Services”, agrega López de ESET.

Una vez iniciada la sesión, a las víctimas se les presenta una selección de 14 perfiles femeninos, cada uno de ellos con foto, nombre y edad. Todos los perfiles están marcados como Bloqueados, y al pulsar sobre uno de ellos se pide a la víctima que introduzca un código de desbloqueo.

El chat requiere un código de desbloqueo

Estos códigos de desbloqueo están hardcodeados y no se validan de forma remota, según ESET probablemente se comparten de forma previa con la víctima. Cada perfil está vinculado a un número de WhatsApp específico con un código de país pakistaní (+92). Los números están integrados en la aplicación, y no pueden modificarse a distancia, lo que sugiere que el operador posee varias tarjetas SIM pakistaníes o tiene acceso a un proveedor externo que las vende. El uso de números locales refuerza la ilusión de que los perfiles son personas reales establecidas en Pakistán y aumenta la credibilidad de la estafa.

Al introducir el código correcto, la app redirige al usuario a WhatsApp para iniciar una conversación con el número asignado, presumiblemente operado por el actor de la amenaza según ESET. Mientras la víctima interactúa con la aplicación, incluso antes de iniciar sesión, el spyware GhostChat se ejecuta en segundo plano y supervisa silenciosamente la actividad del dispositivo y filtra datos confidenciales a un servidor de C&C.