Nueva pieza de spyware para Android desconocido hasta ahora

Se trata de un módulo malicioso insertado en una aplicación de viajes para usuarios de la India. Un análisis más detallado reveló que estaba relacionado con GravityRAT, un troyano de acceso remoto (RAT) conocido por llevar a cabo actividades en dicho país. Posteriores investigaciones confirmaron que el grupo que estaba detrás del malware se ha centrado en la creación de una herramienta multiplataforma por lo que, además de dirigirse a los sistemas operativos Windows, ahora puede utilizarse en Android y Mac OS. La campaña sigue activa.

En 2018, investigadores de ciberseguridad publicaron un resumen acerca de los desarrollos de GravityRAT. La herramienta se había utilizado en ataques dirigidos contra los servicios militares de la India. De acuerdo con los datos de Kaspersky, la campaña ha estado activa al menos desde 2015, centrándose principalmente en el sistema operativo Windows. Sin embargo, hace un par de años la situación cambió y el grupo añadió Android a la lista de objetivos.

El módulo identificado era una prueba más de este cambio, y había varias razones por las que no parecía una pieza típica de spyware para Android. Por ejemplo, hay que seleccionar una aplicación específica para llevar a cabo actividades maliciosas, y el código malicioso no se basaba en el código de aplicaciones de spyware previamente conocidas como suele ser habitual. Esto llevó a los investigadores de Kaspersky a comparar el módulo con familias APT ya conocidas.

El análisis de las direcciones de comando y control (C&C) utilizadas reveló varios módulos maliciosos adicionales, también relacionados con el actor de GravityRAT. En total, se encontraron más de 10 versiones de GravityRAT, que se distribuyen bajo el disfraz de aplicaciones legítimas, como las aplicaciones de intercambio de archivos seguros que ayudarían a proteger los dispositivos de los usuarios contra ransomware, o los reproductores de medios. Usados en conjunto, estos módulos permitieron al grupo acceder al sistema operativo Windows, Mac OS y Android.

La lista de funciones habilitadas en la mayoría de los casos era bastante estándar y típicamente de un spyware. Los módulos pueden recuperar datos de dispositivos, listas de contactos, direcciones de correo electrónico, registros de llamadas y mensajes SMS. Algunos de los troyanos también buscaban archivos con extensiones .jpg, .jpeg, .log, .png, .txt, .pdf, .xml, .doc, .xls, .xlsx, .ppt, .pptx, .docx, y .opus en la memoria de un dispositivo para enviarlos también al C&C.

«Nuestra investigación detectó que el actor detrás de GravityRAT sigue invirtiendo en sus capacidades de espionaje. El disfraz utilizado y una cartera de sistemas operativos ampliada no sólo nos permiten decir que podemos esperar más incidentes con este malware en la región APAC, sino que esto también apoya la tendencia más amplia de que los usuarios maliciosos no están necesariamente centrados en el desarrollo de nuevos malware, sino que desarrollan los ya probados en su lugar en un intento de tener el mayor éxito posible«, comenta Tatyana Shishkova, experta en seguridad de Kaspersky.

Para protegerse frente a las amenazas de spyware, Kaspersky recomienda tomar las siguientes medidas de seguridad

• Proporcione a su equipo SOC acceso a la última información sobre amenazas (TI). 
• Para la detección a nivel del endpoint, la investigación y la reparación oportuna de los incidentes, implemente soluciones EDR fiables.
• Para proteger los dispositivos corporativos, incluidos los de Android, de las aplicaciones maliciosas, utilice una solución de seguridad para endpoint con control de aplicaciones móviles.