Los hackers falsifican páginas de la Google Play Store para minar criptomonedas

Los hackers están atacando a las víctimas a través de un nuevo esquema de phishing. Según una publicación de SecureList, los hackers están utilizando páginas falsas de la Google Play Store para difundir una campaña de malware de Android en Brasil.

La aplicación dañina parece ser una descarga legítima, pero una vez instalada, convierte los teléfonos infectados en máquinas de minería de criptomonedas. Además, se utiliza para instalar malware bancario y otorgar acceso remoto a los actores de amenazas.

Los hackers convierten los teléfonos inteligentes brasileños en máquinas de minería de criptomonedas

La campaña comienza en un sitio web de phishing que se parece casi idénticamente a Google Play. Una de las páginas ofrece una aplicación falsa llamada INSS Reembolso, que afirma estar vinculada al servicio de seguridad social de Brasil. El diseño UX/UI copia un servicio gubernamental de confianza y la disposición de la Play Store para hacer que la descarga parezca segura.

Después de instalar la aplicación falsa, el malware descomprime código oculto en múltiples etapas. Utiliza componentes encriptados y carga el código malicioso principal directamente en la memoria. No hay archivos visibles en el dispositivo, lo que dificulta que los usuarios detecten cualquier actividad sospechosa.

El malware también evade el análisis de los investigadores de seguridad. Verifica si el teléfono se está ejecutando en un entorno emulado. Si detecta uno, deja de funcionar.

Después de una instalación exitosa, el malware continúa descargando más archivos maliciosos. Muestra otra pantalla estilo Google Play falsa, luego muestra un mensaje de actualización falso y empuja al usuario a tocar el botón de actualización.

Uno de esos archivos es un minero de criptomonedas, que es una versión de XMRig compilada para dispositivos ARM. El malware obtiene la carga útil de minería de la infraestructura controlada por los atacantes. Luego la descifra y la ejecuta en el teléfono. La carga útil conecta los dispositivos infectados a servidores de minería controlados por los atacantes para minar criptomonedas silenciosamente en segundo plano.

El malware es sofisticado y no mina criptomonedas a ciegas. Según el análisis de SecureList, el malware monitorea el porcentaje de carga de la batería, la temperatura, la antigüedad de la instalación y si el teléfono se está utilizando activamente. La minería comienza o se detiene en función de los datos monitoreados. El objetivo es permanecer oculto y reducir cualquier posibilidad de detección.

Android cierra las aplicaciones en segundo plano para ahorrar batería, pero el malware evita esto reproduciendo en bucle un archivo de audio casi silencioso. Simula un uso activo para evitar la desactivación automática de Android.

Para continuar enviando comandos, el malware utiliza Firebase Cloud Messaging, que es un servicio legítimo de Google. Esto facilita a los atacantes enviar nuevas instrucciones y gestionar la actividad en el dispositivo infectado.

Troyano bancario dirigido a transferencias de USDT

El malware hace más que minar monedas. Algunas versiones también instalan un troyano bancario dirigido a Binance y Trust Wallet, especialmente durante las transferencias de USDT. Superpone pantallas falsas sobre las aplicaciones reales y luego reemplaza silenciosamente la dirección de la billetera con una controlada por el atacante.

El módulo bancario también monitorea navegadores como Chrome y Brave y admite una amplia gama de comandos remotos. Estos incluyen grabación de audio, captura de pantallas, envío de mensajes SMS, bloqueo del dispositivo, borrado de datos y registro de pulsaciones de teclas.

Otras muestras recientes mantienen el mismo método de entrega de aplicaciones falsas pero cambian a una carga útil diferente. Instalan BTMOB RAT, una herramienta de acceso remoto vendida en mercados clandestinos.

BTMOB forma parte de un ecosistema de malware como servicio (MaaS). Los atacantes pueden comprarlo o alquilarlo, lo que reduce la barrera para el hacking y el robo. La herramienta proporciona a los atacantes un acceso más profundo, incluida la grabación de pantalla, el acceso a la cámara, el seguimiento por GPS y el robo de credenciales.

BTMOB se promociona activamente en línea. Un actor de amenazas compartió demostraciones del malware en YouTube, mostrando cómo controlar los dispositivos infectados. Las ventas y el soporte se manejan a través de una cuenta de Telegram.

SecureList declaró que todas las víctimas conocidas están en Brasil. Algunas variantes más nuevas también se están propagando a través de WhatsApp y otras páginas de phishing.

Campañas de hacking sofisticadas como esta son un recordatorio de verificar todo y no confiar en nada.