La nueva variedad de Android RAT se dirige a la banca y las criptomonedas
Los investigadores de seguridad móvil publicaron información sobre un malware de Android previamente desconocido, denominado Vultur. El malware actúa como un troyano de acceso remoto y abusa de la grabación de pantalla para robar datos de aplicaciones bancarias y criptográficas.
Vultur abusa de VNC o de las capacidades de grabación de pantalla y uso compartido de pantalla de computación en red virtual para monitorear la actividad en las pantallas de los dispositivos infectados. Los principales objetivos de Vultur, según los investigadores, eran las aplicaciones utilizadas para la gestión bancaria y de carteras criptográficas, con especial atención a los países europeos y Australia.
Durante un tiempo, el malware logró sobrevivir a la detección y se distribuyó en la tienda oficial de Google Play, escondido en una aplicación maliciosa llamada "Protection Guard", haciéndose pasar por un ayudante de seguridad del teléfono. La aplicación maliciosa logró obtener más de 5 mil descargas.
Lo que distingue a Vultur del malware RAT similar es que no se basa en superposiciones HTML que filtran las credenciales. Los investigadores notaron que el enfoque de superposición generalmente requiere "una mayor inversión de tiempo y esfuerzo". En cambio, Vultur se basa en la grabación de pantalla y el registro de teclas, que es un enfoque más fácil y escalable.
Tradicionalmente, el malware bancario utilizaría una recreación convincente de la interfaz original y la página de inicio de sesión de una aplicación que se muestra en la parte superior de la aplicación original, capturando cualquier credencial ingresada. Los investigadores creen que los actores de amenazas están abandonando gradualmente este enfoque y tratando de descubrir formas nuevas y más eficientes de robar credenciales.
Los investigadores que examinaron Vultur también encontraron algunas similitudes entre el nuevo RAT y una pieza de malware de Android previamente existente llamada Brunhilda. Brunhilda es un cuentagotas que se utiliza para distribuir diferentes cargas útiles finales, en lo que los investigadores llaman modelo de "cuentagotas como servicio".
La conclusión es una tendencia observable y un impulso para alejarse de los troyanos comprados en sitios web de piratas informáticos y los malos actores que se centran más en el malware que es más escalable y se adapta mejor a sus necesidades específicas. La estructura de malware como Vultur permite que todas las acciones sean programadas e integradas en el backend y permiten ataques de ejecución y ejecución más fáciles.
