888 RAT apunta a grupos kurdos, los hackers BladeHawk dirigen la campaña
Los grupos étnicos kurdos están infectando sus dispositivos Android con lo que parece ser una nueva pieza de malware de Android. La amenaza, denominada 888 RAT, se utiliza junto con SpyNote, otro troyano de acceso remoto (RAT) para Android. Los criminales detrás de este ataque parecen ser un grupo rastreado bajo el alias BladeHawk. Estos delincuentes han estado involucrados en ataques similares en el pasado, donde utilizaron otros implantes de Android. Es importante agregar que el 888 RAT puede ser referido con diferentes nombres como LodaRAT o Gaza007 RAT.
¿Cómo llega a las víctimas esta campaña de 888 RAT?
Esta campaña en particular ha estado utilizando perfiles falsos de Facebook y otras plataformas de redes sociales para propagar la aplicación maliciosa. El 888 RAT generalmente se enmascara como una pieza legítima de software de Android, que el objetivo descarga desde un sitio de alojamiento de aplicaciones de terceros. Los delincuentes utilizan varios perfiles para la campaña de spam. Algunos de estos perfiles se hacen pasar por miembros de la comunidad tecnológica, mientras que otros actúan como seguidores kurdos. Además de promover aplicaciones falsas que ofrecen 888 RAT, los mismos perfiles también se utilizaron para difundir enlaces de phishing para varias aplicaciones y sitios de redes sociales, como Snapchat.
El 888 RAT no es un malware personalizado. De hecho, sus creadores lo vendieron inicialmente en un sitio web público. Ha estado recibiendo actualizaciones periódicas, incluida una versión de Android que salió en 2019. No está claro si los piratas informáticos BladeHawk están usando una copia comprada o una crackeada. Independientemente, las características del malware siguen siendo las mismas.
¿Cuáles son las capacidades de 888 RAT?
La lista de características de este troyano es muy rica. Puede realizar todo tipo de tareas, y solo hay un requisito: la víctima debe otorgar permisos a la aplicación para usar el Servicio de Accesibilidad de Android. Dado que muchas personas no se molestan en verificar los privilegios que otorgan a las aplicaciones, es posible que, sin saberlo, otorguen al 888 RAT control total sobre su dispositivo Android. Algunas de las tareas más importantes que realiza este implante incluyen:
- Grabar llamadas.
- Toma capturas de pantalla.
- Reciba información de hardware sobre el dispositivo: ubicación GPS, nivel de batería y más.
- Compruebe la presencia de aplicaciones de redes sociales como Facebook.
- Robar credenciales de Facebook.
- Enumere todas las aplicaciones en ejecución.
- Administra el sistema de archivos.
- Cargue URL en instancias ocultas del navegador web.
- Ejecute comandos / scripts remotos.
- Administrar mensajes de texto.
Por supuesto, todos los datos que extraiga el 888 RAT serán enviados a los servidores de los atacantes. El implante también puede mostrar superposiciones de phishing personalizadas, probablemente hechas por los piratas informáticos BladeHawk.
A pesar de todas sus características peligrosas, el 888 RAT es un malware muy conocido. Los usuarios de Android que invierten en aplicaciones antivirus de buena reputación y actualizadas pueden estar seguros de que el malware de alto perfil como este no tendrá la oportunidad de infectar su dispositivo.
