GravityRAT ataca de nuevo: el spyware se vuelve multiplataforma

10 noviembre, 2020
5 Compartido 1,329 Visualizaciones

Nueva pieza de spyware para Android desconocido hasta ahora

Se trata de un módulo malicioso insertado en una aplicación de viajes para usuarios de la India. Un análisis más detallado reveló que estaba relacionado con GravityRAT, un troyano de acceso remoto (RAT) conocido por llevar a cabo actividades en dicho país. Posteriores investigaciones confirmaron que el grupo que estaba detrás del malware se ha centrado en la creación de una herramienta multiplataforma por lo que, además de dirigirse a los sistemas operativos Windows, ahora puede utilizarse en Android y Mac OS. La campaña sigue activa.

En 2018, investigadores de ciberseguridad publicaron un resumen acerca de los desarrollos de GravityRAT. La herramienta se había utilizado en ataques dirigidos contra los servicios militares de la India. De acuerdo con los datos de Kaspersky, la campaña ha estado activa al menos desde 2015, centrándose principalmente en el sistema operativo Windows. Sin embargo, hace un par de años la situación cambió y el grupo añadió Android a la lista de objetivos.

El módulo identificado era una prueba más de este cambio, y había varias razones por las que no parecía una pieza típica de spyware para Android. Por ejemplo, hay que seleccionar una aplicación específica para llevar a cabo actividades maliciosas, y el código malicioso no se basaba en el código de aplicaciones de spyware previamente conocidas como suele ser habitual. Esto llevó a los investigadores de Kaspersky a comparar el módulo con familias APT ya conocidas.

El análisis de las direcciones de comando y control (C&C) utilizadas reveló varios módulos maliciosos adicionales, también relacionados con el actor de GravityRAT. En total, se encontraron más de 10 versiones de GravityRAT, que se distribuyen bajo el disfraz de aplicaciones legítimas, como las aplicaciones de intercambio de archivos seguros que ayudarían a proteger los dispositivos de los usuarios contra ransomware, o los reproductores de medios. Usados en conjunto, estos módulos permitieron al grupo acceder al sistema operativo Windows, Mac OS y Android.

La lista de funciones habilitadas en la mayoría de los casos era bastante estándar y típicamente de un spyware. Los módulos pueden recuperar datos de dispositivos, listas de contactos, direcciones de correo electrónico, registros de llamadas y mensajes SMS. Algunos de los troyanos también buscaban archivos con extensiones .jpg, .jpeg, .log, .png, .txt, .pdf, .xml, .doc, .xls, .xlsx, .ppt, .pptx, .docx, y .opus en la memoria de un dispositivo para enviarlos también al C&C.

«Nuestra investigación detectó que el actor detrás de GravityRAT sigue invirtiendo en sus capacidades de espionaje. El disfraz utilizado y una cartera de sistemas operativos ampliada no sólo nos permiten decir que podemos esperar más incidentes con este malware en la región APAC, sino que esto también apoya la tendencia más amplia de que los usuarios maliciosos no están necesariamente centrados en el desarrollo de nuevos malware, sino que desarrollan los ya probados en su lugar en un intento de tener el mayor éxito posible«, comenta Tatyana Shishkova, experta en seguridad de Kaspersky.

Para protegerse frente a las amenazas de spyware, Kaspersky recomienda tomar las siguientes medidas de seguridad

  • Proporcione a su equipo SOC acceso a la última información sobre amenazas (TI). 
  • Para la detección a nivel del endpoint, la investigación y la reparación oportuna de los incidentes, implemente soluciones EDR fiables.
  • Para proteger los dispositivos corporativos, incluidos los de Android, de las aplicaciones maliciosas, utilice una solución de seguridad para endpoint con control de aplicaciones móviles. 

Mantente informado de las noticias más relevantes en nuestro canal de Telegram

Te podría interesar

Los ciberseguros en Reino Unido
Ciberseguros
9 compartido1,436 visualizaciones
Ciberseguros
9 compartido1,436 visualizaciones

Los ciberseguros en Reino Unido

Aina Pou Rodríguez - 16 junio, 2020

El enfoque británico de las aseguradoras es distinto al español y al estadounidense Reino Unido integra los ciberseguros en todos…

Experto en Ciberseguridad, una de las profesiones más demandadas en 2030
Network Security
1117 visualizaciones
Network Security
1117 visualizaciones

Experto en Ciberseguridad, una de las profesiones más demandadas en 2030

Samuel Rodríguez - 2 agosto, 2019

Los empleos emergentes con mayor proyección de futuro son: Analista de datos, desarrollador de software, experto en Ciberseguridad, especialista en…

Cuando el phishing comienza desde dentro
Actualidad
895 visualizaciones
Actualidad
895 visualizaciones

Cuando el phishing comienza desde dentro

José Luis - 19 octubre, 2017

Trend Micro ofrece varios ejemplos que permiten ilustrar qué son estos ataques y cómo actúan, además de información y consejos…

Deje un comentario

Su email no será publicado

Este sitio usa Akismet para reducir el spam. Aprende cómo se procesan los datos de tus comentarios.