El malware SharkBot se hace pasar por antivirus en Google Play Store
Last Updated on marzo 11, 2022 by Daniel Cepeda
Los expertos de NCC Group han informado sobre el malware SharkBot que se encontró en la Google Play Store. El malware se hacía pasar por un antivirus y, de hecho, robaba el dinero de los usuarios que instalaban la aplicación.
Una de estas “nuevas” familias es un malware bancario para Android llamado SharkBot.
SharkBot, al igual que sus homólogos TeaBot, FluBot y Oscorp (UBEL), pertenece a la categoría de troyanos bancarios capaces de robar credenciales de dispositivos comprometidos y de saltarse los mecanismos de autenticación multifactor.
El malware apareció por primera vez en noviembre de 2021.
Lo que diferencia a SharkBot es su capacidad para realizar transacciones no autorizadas a través del Sistema de Transferencia Automática (ATS), por ejemplo, lo que lo distingue de TeaBot, que requiere que un operador en vivo interactúe con los dispositivos infectados para realizar acciones maliciosas.
En este caso, los atacantes utilizan ATS para engañar a los sistemas de detección de fraudes imitando la secuencia de acciones que realizaría un usuario real, como la pulsación de botones, los clics y los gestos necesarios para realizar una transferencia de dinero.
El malware, detectado en Google Play Store el 28 de febrero de 2022, era una serie de droppers de aplicaciones que utilizaban la función Android Direct Reply para propagarse a otros dispositivos, lo que convierte a SharkBot en el segundo troyano bancario después de FluBot, que utilizaba dicho método de distribución y tenía capacidad de gusano.
El malware se encontraba en las siguientes aplicaciones, que se instalaron más de 57.000 veces:
Antivirus, Super Cleaner (com.abbondioendrizzi.antivirus.supercleaner) – 1000+ instalaciones;
Atom Clean-Booster, Antivirus (com.abbondioendrizzi.tools.supercleaner) – Más de 500 instalaciones;
Alpha Antivirus, Cleaner (com.pagnotto28.sellsourcecode.alpha) – 5000+ instalaciones;
Potente limpiador, Antivirus (com.pagnotto28.sellsourcecode.supercleaner) – 50.000+ instalaciones.
La falsa aplicación antivirus SharkBotDropper, publicada en la tienda Google Play, tiene más de 1000 descargas y varios comentarios falsos, como “Funciona bien”, así como otros comentarios de víctimas que se dieron cuenta de que la aplicación hacía cosas extrañas.
Además, SharkBot es multifuncional y permite al atacante incrustar superposiciones sobre aplicaciones bancarias reales y así robar credenciales, interceptar pulsaciones de teclas y establecer un control remoto total sobre los dispositivos.
Pero todo esto sólo es posible si la víctima autoriza al malware a utilizar los servicios de accesibilidad.
Anteriormente
