La botnet PEACHPIT aprovecha los dispositivos móviles infectados

Los actores de amenazas utilizaron una botnet conocida como PEACHPIT, que involucraba una extensa red de dispositivos Android e iOS, para generar ganancias ilegales. Esta botnet está vinculada a una operación más amplia llamada BADBOX con sede en China, que implica la venta de dispositivos móviles y de TV conectados sin marca en populares minoristas en línea y plataformas de reventa, todos los cuales están comprometidos con un malware de Android llamado Triada.

Las aplicaciones asociadas a PEACHPIT se descubrieron en 227 países y territorios, con una estimación máxima de 121.000 dispositivos Android infectados diariamente y 159.000 dispositivos iOS infectados diariamente, según HUMAN Security.

Esta infección se logró a través de un conjunto de 39 aplicaciones que se descargaron más de 15 millones de veces. Los dispositivos que contenían el malware BADBOX permitieron a los operadores robar datos confidenciales, establecer puntos de salida de proxy residenciales y participar en fraude publicitario a través de aplicaciones fraudulentas.

PEACHPIT podría propagarse a través de un ataque a la cadena de suministro

Actualmente no está claro el método por el cual los dispositivos Android se ven comprometidos con una puerta trasera de firmware, pero hay indicios de un ataque a la cadena de suministro de hardware que involucra a un fabricante chino.

Los actores de amenazas también podrían utilizar estos dispositivos comprometidos para crear cuentas de WhatsApp y Gmail, lo que dificulta su detección, ya que parecen haber sido creados por usuarios genuinos.

Los investigadores de seguridad documentaron por primera vez esta operación criminal en mayo de 2023, atribuyéndola a un grupo llamado Lemon Group.

HUMAN identificó más de 200 tipos diferentes de dispositivos Android, incluidos teléfonos móviles, tabletas y productos CTV, que mostraban signos de infección por BADBOX, lo que indica una operación generalizada.

Un aspecto importante del esquema de fraude publicitario es el uso de aplicaciones falsificadas en las principales tiendas de aplicaciones como Apple App Store y Google Play Store, así como descargas automáticas a dispositivos BADBOX comprometidos. Estas aplicaciones contienen un módulo que crea WebViews ocultas para solicitar, mostrar e interactuar con anuncios, haciendo que parezca que las solicitudes provienen de aplicaciones legítimas.

Para combatir esta operación, la empresa de prevención de fraude colaboró con Apple y Google, y los actores de amenazas han eliminado los servidores C2 responsables de la infección de puerta trasera del firmware BADBOX. Como resultado, el resto de BADBOX ahora se considera inactivo.