SharkBot es un malware bancario para Android disfrazado de antivirus

Compartir bot Uno de los malware bancarios difundidos en Google Play Store
Disfrazado de antivirus Con función de limpieza del sistema operativo. Se ha detectado malware en Tienda de juegos Por investigadores de seguridad de NCC, quienes publicaron un análisis detallado del malware.

SharkBot fue reconocido por primera vez en octubre de 2021 por Cleafy, quien ya encontró la capacidad de transferir dinero a través de sistema de transferencia automática Simulando comandos táctiles en dispositivos pirateados.

Este es el trabajo que fue También fue encontrado por investigadores del NCC., que identificó en la última versión del malware, pero solo se utilizará en casos limitados de ataques avanzados. SharkBot, en su última versión, cuenta con cuatro características principales.

En primer lugar, el malware puede Robo de credenciales al exponer contenido web mediante la explotación de técnicas de phishing Una vez descubierto para abrir la aplicación bancaria oficial. SharkBot también puede robar credenciales de acceso a cuentas al registrar eventos de accesibilidad relacionados con cambios en campos de texto y botones activados, y luego enviar registros de estos eventos a un servidor de comando y control. El malware puede
Interceptar y ocultar SMS Se envía al teléfono inteligente y finalmente puede obtener el control remoto completo del dispositivo Android.

El malware puede realizar estas actividades ya que hace un mal uso del permiso de acceso de Android, otorgándose permisos adicionales según sea necesario. Todo esto permite a SharkBot detectar cuando un usuario ha iniciado una aplicación bancaria y realizar las maniobras adecuadas para robar las credenciales del usuario.

Mencionamos un poco más arriba tener un servidor de comando y control: SharkBot de hecho puede Reciba comandos de forma remota para realizar diversas actividades. Como enviar un SMS, cambiar de operador de SMS, descargar archivos desde una URL, recibir un archivo de configuración, desinstalar aplicaciones, desactivar la optimización de la batería, mostrar superposiciones de phishing, activar o desactivar ATS y cerrar una aplicación específica cuando el usuario intenta iniciar el ella.

La diferencia entre SharkBot y otros troyanos bancarios para Android es el uso de componentes que explotan la función de “respuesta directa” de las notificaciones: el malware puede interceptar y responder a nuevas notificaciones directamente a través de mensajes que provienen del servidor de comando y control. Esta característica es utilizada por malware para Distribución de payloads al dispositivo pirateadoy responda con una URL corta a través de Bit.ly.

Luego, los investigadores descubrieron que la versión inicial de SharkBot que circulaba en Play Store contenía una versión limitada del malware para reducir el riesgo de que la tienda lo detectara y rechazara. Con la funcionalidad de respuesta directa descrita anteriormente, la versión completa de SharkBot se descarga directamente desde el servidor de comando y control y se instala automáticamente en el dispositivo. Luego, el NCC señala que el servidor de comando y control se basa en el sistema de algoritmo de creación de dominios, lo que dificulta el bloqueo de dominios de los que provienen los comandos de SharkBot.

En estos casos, la sugerencia es evitar descargar aplicaciones que provengan de desarrolladores desconocidos, especialmente cuando se trata de antivirus, apoyándose siempre en soluciones de fabricantes conocidos y probados.