Un nuevo malware roba contraseñas y criptomonedas: está en al menos cuatro aplicaciones de Android

Se trata de CherryBlos, que apareció inicialmente en abril de 2023, que se habría distribuido inicialmente a través de Telegram y estaría presente en cuatro aplicaciones diferentes para Android: GPTalk, Happy Miner, Robot 999 y SynthNet.

Es un malware diseñado para robar credenciales relacionadas con las transacciones de criptomonedas y que es capaz de reemplazar las direcciones utilizadas cuando se retiran activos de estas billeteras.

Atención con los permisos de las aplicaciones

Como la mayoría de troyanos bancarios modernos, CherryBlos “requiere de permisos de accesibilidad para funcionar”, de modo que cuando el usuario abre la aplicación infectada, se muestra una ventana de diálogo emergente que solicitará a los usuarios que habiliten los permisos de accesibilidad.

Para robar las credenciales o activos de las billeteras, CherryBlos emplea diferentes técnicas. Una de ellas es la de implementar una interfaz de usuario falsa emergente cuando se inician las aplicaciones oficiales. De hecho, comprueba las apps de billeteras que el usuario tiene instaladas en su dispositivo para lanzar una falsa cuando detecta actividad.

Para ello, utiliza el Servicio de accesibilidad, un sistema que monitoriza la actividad y que, cuando la detecta, utiliza StartActivity para lanzar las aplicaciones fraudulentas con el fin de inducir a las víctimas a introducir sus credenciales de acceso. Una vez las víctimas introducen sus claves y hacen clic sobre el botón ‘confirmar’, estas se transmiten al servidor de C&C.

Otra técnica de robo que emplea supone la suplantación de la interfaz de usuario para modificar la dirección de retiro de divisas, con el fin de que vaya a una app legítima de Binance controlada por los ciberdelincuentes.

Tal y como han comentado los investigadores, CherryBlos identifica tres palabras clave durante la actividad: ‘Retirar’, ‘Confirmar’ y ‘Enviar’. Una vez detectadas, el ‘malware’ utiliza el servicio de Accesibilidad para descifrar otros elementos, como el tipo de moneda utilizada en esa transacción. Después de superponer una interfaz ilegítima a la aplicación infectada, se completa la compra de activos y estos se transfieren a una dirección controlada por el atacante.

El malware CherryBIos puede hacer capturas de pantalla

CherryBlos es capaz de leer archivos multimedia guardados en el almacenamiento externo y que puede utilizar el reconocimiento óptico de caracteres (OCR) para reconocer contraseñas mnemotécnicas utilizadas para obtener acceso a una cuenta.

Esto quiere decir que cuando las aplicaciones legítimas muestran frases de contraseña en las pantallas de los teléfonos, este software malicioso puede tomar una imagen de la pantalla y, después, utilizar OCR para traducir lo que aparece en ella a un formato de texto, que se puede utilizar para vulnerar la cuenta.

La mayoría de aplicaciones relacionadas con la banca y las fianzas utilizan una configuración que impide tomar capturas de pantalla durante las transacciones confidenciales pero este malware parece eludir estas restricciones. Esto es posible porque obtiene permisos de accesibilidad utilizados por personas con problemas de visión.

Fuente: Tntecno