La firma de seguridad Pradeo dijo que una aplicación falsa de autenticación de dos factores descargada subrepticiamente unas 10,000 veces desde Google Play instaló un conocido troyano de fraude bancario que buscaba datos financieros y otra información personal en los teléfonos infectados.

certificado 2FA Comenzó la transmisión en vivo en Google Play Hace dos semanas, pretendía ser una alternativa a las aplicaciones 2FA legítimas de navegador de googleY Twilioy otras empresas de confianza. De hecho, investigadores de la empresa de seguridad Pradeo dijo el juevesLa aplicación roba datos personales de los dispositivos de los usuarios y los usa para determinar si los teléfonos infectados deben descargar e instalar un troyano bancario que ya infectó miles de teléfonos en el pasado.

las águilas vuelan

Descubre el año pasado De la empresa de seguridad ThreatFabric, Vultur es una pieza avanzada de malware para Android. Una de sus muchas innovaciones es el uso de una implementación real de una aplicación de uso compartido de pantalla VNC para reflejar las pantallas de los dispositivos infectados para que los atacantes puedan obtener en tiempo real las credenciales de inicio de sesión y otros datos confidenciales de las aplicaciones bancarias y financieras.

Para hacer que 2FA Authenticator parezca real, sus desarrolladores comenzaron con Esta es una muestra legítima. Desde la aplicación de autenticación Aegis de código abierto. El análisis del malware muestra que en realidad estaba programado para proporcionar el servicio de autenticación que anunciaba.

Sin embargo, entre bastidores, la primera fase de 2FA Authenticator recopiló una lista de las aplicaciones instaladas en el dispositivo, así como la geolocalización del dispositivo. La aplicación también deshabilitará la pantalla de bloqueo de Android, descargará aplicaciones de terceros como «actualizaciones» y superpondrá otras interfaces de aplicaciones móviles para confundir a los usuarios.

Si los teléfonos afectados están en las ubicaciones correctas y se les instalan las aplicaciones adecuadas, la segunda etapa de 2FA Authenticator instalará Vultur, que finalmente está programado para grabar pantallas de dispositivos Android cuando cualquiera de las 103 aplicaciones bancarias, financieras o de criptomonedas. estan corriendo.

Bradio dijo que la aplicación 2FA Authenticator se lanzó el 12 de enero, los investigadores de la compañía le dijeron a Google que la aplicación era maliciosa el 26 de enero y que Google la eliminó unas 12 horas después. Durante dos semanas, estuvo disponible en Play y la aplicación fue instalada por unos 10.000 usuarios. No está claro si Google notificó a alguno de ellos que la aplicación de seguridad que pensaron que obtendrían era, de hecho, un troyano de fraude bancario.

Más tarde, hubo señales de alerta de que los usuarios experimentados de Android podían descubrir que 2FA Authenticator era malicioso. El principal de ellos fue la gran cantidad y amplitud de los permisos del sistema requeridos. Entre ellos estaban:

• android.permission.QUERY_ALL_PACKAGES
• android.permiso.SYSTEM_ALERT_WINDOW
• android.permiso.REQUEST_INSTALL_PACKAGES
• android.permiso.INTERNET
• android.permission.FOREGROUND_SERVICE
• android.permiso.RECEIVE_BOOT_COMPLETED
• android.permiso.DISABLE_KEYGUARD
• android.permiso.WAKE_LOCK

El código oficial de la aplicación Aegis de código abierto no requiere ninguno de estos permisos. Las descargas de aplicaciones que aparecen como actualizaciones pueden ser otra señal reveladora de que algo anda mal con 2FA Authenticator.

Un correo electrónico en busca de comentarios de la dirección de Google Play que figura en la lista del desarrollador no recibió una respuesta inmediata. La misma aplicación maliciosa 2FA Authenticator permanece disponible en mercados de terceros aquíY aquíY aquí. Los representantes de Google no estuvieron disponibles de inmediato para hacer comentarios.