el-pais -

¡Cuidado con los acosadores! GravityRAT, el software espía que va por tu copia de seguridad de WhatsApp

El equipo de investigación de ESET analiza un software espía que roba archivos de la copia de seguridad de WhatsApp.

Redacción web

El equipo de investigación de ESET, compañía líder en detección proactiva de amenazas, identificó una versión actualizada para Android de GravityRAT, un troyano de acceso remoto que se distribuye como las aplicaciones de mensajería BingeChat y Chatico. Existen versiones disponibles de este malware para Windows, Android y macOS, y si bien el actor detrás de este troyano sigue siendo desconocido desde ESET se rastrea al grupo como SpaceCobra.

Activo desde al menos 2015, el grupo SpaceCobra ahora amplió sus funcionalidades para exfiltrar las copias de seguridad de WhatsApp Messenger y recibir comandos para eliminar archivos. Esta campaña utiliza aplicaciones de mensajería como señuelo para para distribuir el backdoor GravityRAT.  

El grupo detrás de este malware utiliza el código de la aplicación de mensajería instantánea legítima llamada OMEMO para proporcionar la funcionalidad de chat en las aplicaciones de mensajería maliciosas BingeChat y Chatico. Probablemente activa desde agosto de 2022, según ESET la campaña de BingeChat aún está en curso. Sin embargo, la campaña que utiliza Chatico ya no está activa. 

Según el nombre del archivo APK, la app maliciosa tiene la marca BingeChat y afirma proporcionar la funcionalidad de mensajería. Desde el equipo de ESET encontraron que el sitio web bingechat[.]net a estado distribuyendo una muestra. 

El sitio web debería descargar la aplicación maliciosa después de tocar el botón DESCARGAR APLICACIÓN; sin embargo, solicita que los visitantes inicien sesión. “No teníamos credenciales y los registros estaban cerrados. Lo más probable es que los operadores detrás de esta campaña solo abran el registro cuando esperan que una víctima específica visite el sitio, posiblemente a través de una dirección IP particular, geolocalización, una URL personalizada o dentro de un período de tiempo específico. Por lo tanto, creemos que las víctimas potenciales son altamente específicas.”,  comenta Camilo Gutiérrez Amaya, Jefe del Laboratorio de Investigación de ESET Latinoamérica. 

 

También puedes leer: ¡Pobres almas! Sancionan a 'Push' por no entregar factura a clientes

Según el equipo de investigación la aplicación maliciosa nunca estuvo disponible en la tienda Google Play. Es una versión troyanizada de la aplicación de Android legítima OMEMO Instant Messenger (IM) pero tiene la marca BingeChat. OMEMO IM es una reconstrucción del cliente para Android Conversations.

Después de iniciarse, la aplicación solicita al usuario que habilite todos los permisos necesarios para funcionar correctamente. Excepto por el permiso para leer los registros de llamadas los otros permisos solicitados son típicos de cualquier aplicación de mensajería, por lo que es posible que el usuario del dispositivo no se alarme cuando la aplicación los solicite.

Como parte de la funcionalidad legítima, la aplicación ofrece opciones para crear una cuenta e iniciar sesión. Antes de que el usuario inicie sesión en la aplicación, GravityRAT comienza a interactuar con su servidor C&C, filtrando los datos del usuario del dispositivo y esperando que se ejecuten los comandos. GravityRAT es capaz de exfiltrar:

registros de llamadas lista de contactos mensajes SMS archivos con extensiones específicas: jpg, jpeg, log, png, PNG, JPG, JPEG, txt, pdf, xml, doc, xls, xlsx, ppt, pptx, docx, opus, crypt14, crypt12, crypt13, crypt18, crypt32 ubicación del dispositivo información básica del dispositivo

Los datos que se exfiltrarán se almacenan en archivos de texto en medios externos, luego se extraen al servidor de C&C y finalmente se eliminan. Según ESET estos son comandos muy específicos que normalmente no se ven en el malware para Android. Las versiones anteriores de GravityRAT para Android no podían recibir comandos; solo podían cargar datos extraídos a un servidor C&C en un momento determinado.

“No sabemos cómo fue que las potenciales víctimas fueron atraídas o descubrieron el sitio web malicioso. Teniendo en cuenta que la posibilidad de descargar la aplicación está condicionada a tener una cuenta y que no fue posible registrar una nueva cuenta al momento del análisis, creemos que las víctimas de esta campaña fueron especialmente seleccionadas.”, menciona el investigador.

También puedes leer. ¿Aprovechó en Aruba? Le piden a Kathy Phillips que trabaje en un hermanito para Lyann

 

Los datos de telemetría de ESET no han registrado ninguna víctima de esta campaña de BingeChat, lo que sugiere además que la campaña probablemente tenga un objetivo limitado. Sin embargo, se tiene una detección de otra muestra para Android de GravityRAT en India que data de junio de 2022. En este caso, GravityRAT se denominó Chatico.

Al igual que BingeChat, Chatico se basa en la aplicación OMEMO Instant Messenger y está troyanizada con GravityRAT. Según ESET, lo más probable es que Chatico se distribuyera a través del sitio web chatico.co[.]uk y también se comunicara con un servidor de C&C. Los dominios tanto del sitio web como del servidor de C&C ahora están fuera de línea.

Etiquetas
Más Noticias

El País SINAPROC eleva a Alerta Amarilla distritos en Veraguas, Los Santos, Herrera, Chiriquí y la comarca Ngäbe Buglé

Fama Yen Video prepara una 'Casa de los Famosos' al estilo panameño: 'Vamos a hacerlo bien'

Deportes Panamá domina el fútbol bandera de los Juegos Centroamericanos y se queda con los oros

Fama Turba rompe puerta de vidrio al intentar entrar al concierto de Omar Courtz en el antiguo Figali

El País Con colorido desfile culminan las festividades por los 177 años de fundación de Chitré

Deportes 2-1. Mbappé y Bellingham deciden el clásico y afianzan el liderato del Real Madrid

Mundo Un destructor de Estados Unidos llega a Trinidad y Tobago para realizar ejercicios militares

El País Comunidades de Mariato y Soná nuevamente bajo el agua: años de inundaciones sin soluciones definitivas

El País Reducen tiempo de espera por resonancia magnética en la policlínica de La Chorrera

Mundo Nueve muertos y varios heridos al caer un ómnibus desde un puente en Argentina

El País Investigación por atentado contra un hombre en Altos de Los Lagos, Colón

El País CCIAP resalta la importancia del Mercosur para Panamá y reafirma su compromiso con la libre empresa

El País Accidente en Chiriquí deja un policía fallecido y dos heridos

Mundo Melissa azota el Caribe como huracán categoría 4 que podría fortalecerse camino a Jamaica

El País Atrapan al último fugado del Centro de Cumplimiento Basilio Lakas

El País Policía española incauta 6.500 kilos de cocaína en un mercante procedente de Panamá

El País Ríos desbordados en Tonosí y Mariato mientras se mantiene aviso por mar de fondo en el Caribe

El País Culmina con éxito el Festival del Sombrero Pintao destacando la labor del artesano

Fama La Tigresa del Oriente lanza su versión de 'Thriller' y arrasa en redes a sus 79 años

Tropas panameñas y norteamericanas desarrollan operaciones combinadas en selvas de Sherman

El País Aduanas retiene cigarrillos y celulares en acciones operativas en Colón

El País Bus que transportaba atletas se incendia en la autopista Panamá–Colón