El troyano bancario Greenbean se dirige a usuarios de Android

Greenbean, identificado como un troyano bancario, se dirige específicamente a los sistemas operativos Android y existe desde al menos 2023. Este software malicioso está diseñado para centrarse en adquirir información bancaria y financiera, con indicios que sugieren que se centra principalmente en usuarios de Vietnam y Porcelana.

Al igual que muchos troyanos dirigidos a dispositivos Android, Greenbean explota los servicios de accesibilidad de Android, cuyo objetivo es ayudar a los usuarios a interactuar con sus dispositivos. Estos servicios tienen la capacidad de manipular varios aspectos del dispositivo, como leer la pantalla, simular acciones de la pantalla táctil y el teclado, interactuar con cuadros de diálogo y bloquear/desbloquear el dispositivo. La explotación de estos servicios otorga capacidades completas a programas como Greenbean.

Tras la infiltración, Greenbean solicita al usuario que otorgue permisos de Accesibilidad. Una vez que se obtienen estos permisos, el troyano eleva sus privilegios e inicia la recopilación de información pertinente, incluidos datos del dispositivo y de la red, aplicaciones instaladas, listas de contactos y datos de SMS.

Greenbean tiene la capacidad de descargar archivos e imágenes, así como extraer contenido del portapapeles. Si bien puede enviar mensajes SMS, hasta el momento no se ha utilizado para fraude telefónico.

Además, el troyano posee la capacidad de realizar capturas de pantalla y, en particular, puede transmitir la pantalla del dispositivo infectado y la vista desde las cámaras del teléfono.

El objetivo principal de este malware es obtener información de identificación personal, credenciales de inicio de sesión y datos financieros de las víctimas. Se dirige específicamente a aplicaciones como Gmail, WeChat, Doku, MyVIB, MetaMask y Paybis. Greenbean puede redirigir las transacciones monetarias salientes alterando los detalles del receptor y, en algunos casos, puede iniciar estas transacciones sin la participación de las víctimas.

¿Cómo se distribuyen habitualmente las aplicaciones maliciosas de Android?

Las aplicaciones maliciosas de Android generalmente se distribuyen a través de varios métodos, a menudo aprovechando tácticas engañosas para engañar a los usuarios para que las instalen. Algunos métodos de distribución comunes incluyen:

Tiendas de aplicaciones de terceros: las aplicaciones maliciosas pueden alojarse en tiendas de aplicaciones de terceros fuera de la tienda oficial de Google Play. Es posible que se solicite a los usuarios que descarguen aplicaciones de estas fuentes no oficiales, lo que aumenta el riesgo de encontrar malware.

Sitios web de phishing: los ciberdelincuentes crean sitios web falsos o anuncios que imitan páginas de descarga de aplicaciones legítimas. Los usuarios desprevenidos pueden ser dirigidos a estos sitios de phishing y descargar aplicaciones maliciosas sin saberlo.

Publicidad maliciosa: la publicidad maliciosa, o publicidad maliciosa, implica colocar código dañino dentro de los anuncios en línea. Hacer clic en estos anuncios o visitar sitios web comprometidos puede provocar la descarga e instalación automática de aplicaciones maliciosas.

Correo electrónico y mensajería: las aplicaciones maliciosas se pueden distribuir a través de correos electrónicos de phishing o mensajes que contienen enlaces para descargar aplicaciones infectadas. Estos mensajes suelen utilizar técnicas de ingeniería social para engañar a los usuarios para que hagan clic en los enlaces proporcionados.

SMS y MMS: parte del malware se distribuye a través de mensajes de texto o mensajes multimedia que contienen enlaces para descargar aplicaciones maliciosas. Este método, conocido como "smishing", tiene como objetivo engañar a los usuarios para que instalen aplicaciones dañinas.

Actualizaciones falsas del sistema: los ciberdelincuentes pueden crear notificaciones falsas de actualizaciones del sistema que solicitan a los usuarios que descarguen e instalen actualizaciones fuera de los canales oficiales. Estas actualizaciones falsas suelen contener malware.

Sitios web infectados: visitar sitios web comprometidos o hacer clic en enlaces maliciosos puede provocar la descarga automática de aplicaciones dañinas. Las descargas no autorizadas ocurren cuando se descarga malware sin el conocimiento del usuario durante la visita a un sitio comprometido.