Kaspersky ha identificado una nueva pieza de spyware para Android desconocido hasta ahora.
Se trata de un módulo malicioso insertado en una aplicación de viajes para usuarios de la India. Un análisis más detallado reveló que estaba relacionado con GravityRAT, untroyano de acceso remoto(RAT) conocido por llevar a cabo actividades en dicho país. Posteriores investigaciones confirmaron que el grupo que estaba detrás del malware se ha centrado en la creación de una herramienta multiplataforma por lo que, además de dirigirse a los sistemas operativos Windows, ahora puede utilizarse en Android y Mac OS. La campaña sigue activa.
En 2018, investigadores de ciberseguridad publicaron un resumen acerca de los desarrollos de GravityRAT. La herramienta se había utilizado en ataques dirigidos contra los servicios militares de la India. De acuerdo con los datos de Kaspersky, la campaña ha estado activa al menos desde 2015, centrándose principalmente en el sistema operativo Windows. Sin embargo, hace un par de años la situación cambió y el grupo añadió Android a la lista de objetivos.
El módulo identificado era una prueba más de este cambio, y había varias razones por las que no parecía una pieza típica de spyware para Android. Por ejemplo, hay que seleccionar una aplicación específica para llevar a cabo actividades maliciosas, y el código malicioso no se basaba en el código de aplicaciones de spyware previamente conocidas como suele ser habitual. Esto llevó a los investigadores de Kaspersky a comparar el módulo con familias APT ya conocidas.
El análisis de las direcciones de comando y control (C&C) utilizadas reveló varios módulos maliciosos adicionales, también relacionados con el actor de GravityRAT. En total, se encontraron más de 10 versiones de GravityRAT, que se distribuyen bajo el disfraz de aplicaciones legítimas, como las aplicaciones de intercambio de archivos seguros que ayudarían a proteger los dispositivos de los usuarios contra ransomware, o los reproductores de medios. Usados en conjunto, estos módulos permitieron al grupo acceder al sistema operativo Windows, Mac OS y Android.
La lista de funciones habilitadas en la mayoría de los casos era bastante estándar y típicamente de un spyware. Los módulos pueden recuperar datos de dispositivos, listas de contactos, direcciones de correo electrónico, registros de llamadas y mensajes SMS. Algunos de los troyanos también buscaban archivos con extensiones .jpg, .jpeg, .log, .png, .txt, .pdf, .xml, .doc, .xls, .xlsx, .ppt, .pptx, .docx, y .opus en la memoria de un dispositivo para enviarlos también al C&C.
"Nuestra investigación detectó que el actor detrás de GravityRAT sigue invirtiendo en sus capacidades de espionaje. El disfraz utilizado y una cartera de sistemas operativos ampliada no sólo nos permiten decir que podemos esperar más incidentes con este malware en la región APAC, sino que esto también apoya la tendencia más amplia de que los usuarios maliciosos no están necesariamente centrados en el desarrollo de nuevos malware, sino que desarrollan los ya probados en su lugar en un intento de tener el mayor éxito posible", comenta Tatyana Shishkova, experta en seguridad de Kaspersky.
Para protegerse frente a las amenazas de spyware, Kaspersky recomienda tomar las siguientes medidas de seguridad:
- Proporcione a su equipo SOC acceso a la última información sobre amenazas (TI). Portal Threat Intelligence de Kaspersky ofrece al equipo de TI corporativo acceso a los datos de los ciberataques y conocimientos recopilados por Kaspersky durante más de 20 años.
- Para la detección a nivel del endpoint, la investigación y la reparación oportuna de los incidentes, implemente soluciones EDR fiables, como Kaspersky Endpoint Detection and Response.
- Para proteger los dispositivos corporativos, incluidos los de Android, de las aplicaciones maliciosas, utilice una solución de seguridad para endpoint con control de aplicaciones móviles. Esto puede asegurar que sólo las aplicaciones de confianza previamente aprobadas puedan ser instaladas en los dispositivos con acceso a datos corporativos sensibles.
Para obtener más detalles sobre los nuevos exploits documentados anteriormente, lea el informe completo en Securelist.
Kaspersky
Kaspersky es una compañía global de ciberseguridad fundada en 1997. La profunda experiencia de Kaspersky en inteligencia de amenazas y seguridad se está continuamente transformando en innovadoras soluciones y servicios de seguridad para proteger a empresas, infraestructuras críticas, gobiernos y consumidores en todo el mundo. El extenso portfolio de productos de seguridad de la empresa incluye su reputada solución de protección de endpoints, junto con una serie de soluciones y servicios de seguridad especializados para combatir las sofisticadas y cambiantes amenazas digitales. Más de 400 millones de usuarios son protegidos por las tecnologías de Kaspersky y ayudamos a 250.000 clientes corporativos a proteger lo que más les importa. Obtenga más información en www.kaspersky.es
