El malware móvil Brokewell se propaga a través de actualizaciones falsas de Chrome

Se están empleando actualizaciones de navegador falsificadas para distribuir un nuevo malware de Android conocido como Brokewell, que anteriormente no estaba documentado.

Según un análisis realizado por investigadores de seguridad publicado en abril de 2024, Brokewell es un malware bancario contemporáneo que posee capacidades tanto de robo de datos como de control remoto.

El malware está evolucionando activamente y el desarrollo continuo introduce nuevos comandos para capturar eventos táctiles, texto en pantalla y aplicaciones iniciadas.

Brokewell se disfraza de varias aplicaciones, incluidas Google Chrome, ID Austria y Klarna:

• jcwAz.EpLIq.vcAZiUGZpK (Google Chrome)
• zRFxj.ieubP.lWZzwlluca (ID Austria)
• com.brkwl.upstracking (Klarna)

Al igual que otro malware reciente para Android, Brokewell puede eludir las restricciones de Google sobre aplicaciones descargadas que intentan solicitar permisos de servicios de accesibilidad.

Una vez instalado y ejecutado, el troyano bancario solicita a la víctima que conceda permisos de servicio de accesibilidad, lo que permite la concesión automática de otros permisos para llevar a cabo actividades maliciosas.

Brokewell viene con un conjunto de herramientas maliciosas diversas

Las capacidades de Brokewell incluyen mostrar pantallas superpuestas para robar credenciales de usuario, interceptar cookies de sesión, grabar audio, tomar capturas de pantalla, acceder a registros de llamadas y ubicación del dispositivo, enumerar aplicaciones instaladas, enviar mensajes SMS, realizar llamadas telefónicas, instalar/desinstalar aplicaciones y deshabilitar servicios de accesibilidad.

El malware permite a los actores de amenazas ver de forma remota el contenido de la pantalla en tiempo real e interactuar con el dispositivo mediante clics, deslizamientos y toques.

Brokewell se atribuye a un desarrollador que utiliza el seudónimo "Baron Samedit Marais" y gestiona el proyecto "Brokewell Cyber Labs". El proyecto incluye un cargador de Android alojado en Gitea, diseñado para evitar las restricciones de permisos de accesibilidad en versiones específicas de Android e implementar el implante troyano.

El cargador, parecido a un cuentagotas, genera aplicaciones con un nombre de paquete predeterminado "com.brkwl.apkstore", potencialmente accesible para otros actores de amenazas que buscan evadir las medidas de seguridad de Android.