Los hackers weaponizan el mensajero Telegram con malware para obtener control del sistema

Según los informes, el malware se envía a los dispositivos a través de anuncios engañosos dentro de aplicaciones y tiendas de aplicaciones de terceros que se hacen pasar por plataformas legítimas de citas y comunicación. Esta amenaza representa una escalada significativa en la distribución de malware móvil, extendiéndose a través de 58.000 dispositivos infectados.

Además, también se ha extendido a más de 3.000 teléfonos inteligentes, tabletas, cajas de TV y algunos sistemas de vehículos basados en Android.

Los hackers weaponizan Telegram con malware para obtener acceso

El informe afirma que la distribución de la puerta trasera comenzó en 2024, con el hacker apuntando principalmente a usuarios brasileños e indonesios a través de plantillas en portugués e indonesio. Las víctimas encuentran anuncios dentro de la aplicación móvil, que los redirigen a catálogos de aplicaciones falsos que presentan reseñas falsas y banners promocionales que publicitan chats de video gratuitos y oportunidades de citas. Estos sitios web falsos entregan aplicaciones infundidas con malware que se ven igual que las legítimas.

Además de los sitios web maliciosos, la puerta trasera también se ha infiltrado en repositorios de terceros establecidos, incluyendo APKPure, ApkSum y AndroidP, donde se publica engañosamente bajo el nombre del desarrollador oficial del mensajero a pesar de tener una firma digital diferente.

Los analistas identificaron el malware como teniendo una capacidad excepcional para robar información confidencial, que incluye credenciales de inicio de sesión, contraseñas e historiales completos de chats. La puerta trasera también oculta indicadores de cuentas comprometidas ocultando las conexiones de dispositivos de terceros de las listas activas de sesiones de Telegram.

Además, es capaz de eliminar o agregar a sus víctimas a canales y chats sin su aprobación, disfrazando estas acciones por completo y transformando las cuentas comprometidas en herramientas para inflar artificialmente los suscriptores de canales de Telegram.

Lo que lo distingue de las amenazas Android convencionales es su uso de la base de datos Redis para operaciones de comando y control. Las versiones anteriores del malware dependían de servidores C2 tradicionales, pero los desarrolladores han integrado comandos basados en Redis.

El malware manipula funcionalidades sin ser detectado

El informe afirma que la puerta trasera utiliza múltiples técnicas para manipular las funcionalidades del mensajero sin ser detectado. Para operaciones que no interferirán con las funciones principales de la aplicación, los hackers utilizan espejos ya preparados de métodos del mensajero, que son bloques de código separados responsables de tareas específicas dentro de la arquitectura del programa Android.

Este espejo permite que la aplicación muestre mensajes de phishing dentro de ventanas que replican perfectamente las interfaces originales de Telegram X.

Para otras operaciones que requieren una integración más profunda, el malware utiliza el marco Xposed para modificar los métodos de la aplicación, permitiendo habilidades como ocultar chats específicos, ocultar dispositivos autorizados e interceptar el contenido del portapapeles. El malware de la puerta trasera utiliza los canales Redis y los servidores C2 para recibir comandos extensos, incluyendo la carga de SMS, contactos y contenido del portapapeles cada vez que un usuario minimiza o restaura la ventana del mensajero.

El monitoreo del portapapeles es utilizado por los hackers para robar datos, como contraseñas de billeteras de criptomonedas, frases mnemotécnicas o comunicaciones empresariales confidenciales que fueron expuestas sin saberlo. La puerta trasera recopila información del dispositivo, datos de aplicaciones instaladas, historiales de mensajes y tokens de autenticación, y transmite la información a los hackers cada tres minutos mientras mantiene la apariencia de una operación normal del mensajero Telegram.