PixStealer se dirige a los clientes del PagBank brasileño
Hoy en día, la industria bancaria está muy digitalizada y esto abre un montón de nuevas oportunidades para los ciberdelincuentes. Una región, en particular, se ve muy afectada por los troyanos bancarios de todo tipo: América Latina. Recientemente, se detectó una nueva familia de malware en la región. La amenaza, denominada PixStealer, es un troyano bancario de Android que tiene un método de ataque muy peculiar.
PixStealer parece ser un proyecto muy simple, pero esto no significa que no sea eficiente en lo que hace. Gracias a mantener sus funciones al mínimo, sus creadores esperan evadir la mayoría de las funciones de seguridad de Android. Para empeorar las cosas, PixStealer se alojó temporalmente en la tienda oficial de Google Play, infectando potencialmente a miles de usuarios en Brasil. Este malware en particular estaba oculto bajo la aplicación PagBank Cashback y, como su nombre indica, estaba dirigido a usuarios de la institución financiera PagBank. Esta institución solo opera en Brasil y utiliza algunas características de seguridad muy sólidas para proteger los fondos de sus clientes. Sin embargo, PixStealer puede sortear estas características utilizando un método simple pero eficiente para desviar fondos de las cuentas de la víctima.
Las funciones limitadas hacen que PixStealer sea más sigiloso que otros troyanos
Para empezar, PixStealer no tiene la capacidad de comunicarse con un servidor remoto. A menudo, los troyanos de Android necesitan esta funcionalidad para transmitir datos y recibir más instrucciones. Sin embargo, PixStealer funciona en modo fuera de línea y solo necesita permiso para usar el 'Servicio de accesibilidad de Android' para funcionar. La víctima podría fácilmente otorgarle dichos permisos, porque tiene la impresión de que está interactuando con una aplicación legítima de PagBank.
Una vez que los usuarios abren la aplicación maliciosa, comienzan las instrucciones y luego qué hacer a continuación, con el uso de indicaciones engañosas. Las víctimas primero deben abrir la aplicación legítima de PagBank para la 'sincronización'. Cuando esto sucede, el troyano PixStealer registrará los fondos disponibles de la víctima y los almacenará para su uso posterior. Después de esto, muestra una superposición falsa, pidiendo al usuario que espere hasta que se complete la sincronización. Este paso es muy importante, porque evita que el usuario vea lo que está sucediendo en segundo plano. PixStealer interactúa con el software legítimo de PagBank para desviar los fondos de la víctima a la cuenta del atacante.
Por lo general, este tipo de transferencia requiere varios tipos de verificación: 2FA a través de SMS, carga de documentos e incluso una selfie con la cámara. Sin embargo, dado que la transferencia ocurre desde el dispositivo real del usuario, PagBank puede no usar medidas de verificación tan sólidas; tienen la impresión de que toda la actividad es legítima. Actualmente, PixStealer solo funciona con PagBank, con sede en Brasil. Sin embargo, no sería una sorpresa que sus creadores crearan versiones personalizadas para perseguir otras aplicaciones bancarias populares de Android. Manténgase a salvo de estos ataques utilizando servicios antivirus de Android de buena reputación.
