Recientemente, se han utilizado sitios web que imitan aplicaciones de mensajería instantánea como Telegram y WhatsApp para distribuir malware que infecta los sistemas Android y Windows. Este malware se conoce como malware clipper de criptomonedas, que tiene como objetivo robar los fondos de criptomonedas de las víctimas, y algunos se dirigen específicamente a las billeteras de criptomonedas.
Los investigadores Lukáš Štefanko y Peter Strýček de la empresa de ciberseguridad eslovaca ESET declararon en su último informe de análisis:
Todas estas aplicaciones maliciosas se dirigen a los fondos de criptomonedas de las víctimas, y algunas se dirigen a las billeteras de criptomonedas
.
Si bien la primera instancia de malware clipper de criptomonedas en Google Play Store se remonta a 2019, este desarrollo marca la primera vez que el malware clipper de criptomonedas basado en Android se integra en aplicaciones de mensajería instantánea.
Además, algunas de estas aplicaciones también utilizan tecnología de reconocimiento óptico de caracteres (OCR) para identificar texto de capturas de pantalla almacenadas en dispositivos infectados, que también es una novedad en el malware de Android.
La cadena de ataque comienza al hacer clic involuntariamente en anuncios fraudulentos en los resultados de búsqueda de Google, lo que lleva a cientos de canales de YouTube sospechosos y finalmente redirige a los usuarios a sitios web similares a Telegram y WhatsApp.
Lo que hace que este último lote de malware clipper de criptomonedas sea novedoso es su capacidad para interceptar los registros de chat de las víctimas y reemplazar cualquier dirección de billetera de criptomonedas enviada o recibida con aquellas controladas por los actores de amenazas.
Otro grupo de malware clipper de criptomonedas utiliza ML Kit, un complemento legítimo de aprendizaje automático en Android, para encontrar y robar frases iniciales, lo que podría resultar en el vaciado de billeteras.
Un tercer grupo de malware tiene como objetivo monitorear las conversaciones de Telegram relacionadas con ciertas palabras clave chinas relacionadas con la criptomoneda. Si se encuentran mensajes relevantes, filtra el mensaje completo, el nombre de usuario, el nombre del grupo o canal y otros datos a los servidores remotos.
Por último, un conjunto de cortadoras de Android tiene más funcionalidades, incluido el cambio de direcciones de billetera, la recopilación de información del dispositivo y datos de Telegram, como mensajes y contactos.
Los siguientes son los nombres de estos paquetes de software APK maliciosos:
org.telegram.messenger
org.telegram.messenger.web2
org.tgplus.messenger
io.busniess.va.whatsapp
com.whatsapp
ESET también descubrió dos clústeres basados en Windows, uno diseñado para intercambiar direcciones de billetera y el otro para distribuir acceso remoto.
