Los investigadores de Check Point Research descubrieron un nuevo troyano de acceso remoto móvil (MRAT, por sus siglas en inglés) que se hace pasar por un administrador de dispositivos detrás de los servicios estándar de Google y es capaz de tomar el control del 'smartphone' y exfiltrar imágenes, datos de ubicación, contactos y mensajes, entre otras cosas.
Este MRAT, denominado Rogue, representa una amenaza para los teléfonos Android. Tras ser instalado en un nuevo dispositivo, Rogue empieza a pedir a la víctima los permisos necesarios y al conseguirlos oculta su ícono para evitar la detección.
A story about a mastermind's network of Android mobile malware development discovered recently on the dark net. https://t.co/z32zaaBubU
— Check Point Research (@_CPResearch_) January 13, 2021
Al mismo tiempo, si no logra obtener derechos de administrador, el 'malware' le pedirá repetidamente al usuario que se los otorgue. Además, si el propietario del teléfono infectado intenta revocar los derechos, Rogue muestra un mensaje que dice: '¿Está seguro de que quiere borrar todos los datos?'.
Lee también: Este nuevo teclado te hará escribir más rápido en el celular
Afectaciones
Rogue no solo puede robar fotos, ubicación, contactos y mensajes del usuario, sino también es capaz de obtener acceso al micrófono y a la cámara del dispositivo, según explicó a la revista Forbes el especialista de Check Point Research Yaniv Balmas.
Además, el 'malware' puede hacer llamadas y enviar mensajes de texto, grabar audio, tomar capturas de pantalla, eliminar archivos e instalar aplicaciones. Con Rogue incluso es posible acceder a la base de datos de WhatsApp y borrar todos los mensajes guardados. El troyano monitorea también las llamadas entrantes y salientes, con capacidad para grabarlas, y puede bloquear llamadas de números específicos.
Este nuevo MRAT utiliza Google Firebase como 'máscara' para sus comunicaciones con el servidor de control y comando externo de su operador y cada notificación que recibe el usuario se guarda en una base de datos local y se carga en Firebase. Con ello, el 'malware' separa las notificaciones de Facebook, Instagram, WhatsApp, Skype y Telegram, entre otras, "que generalmente contienen datos más sensibles y de mayor valor".
Rogue se encuentra dentro de una serie de aplicaciones que deben ser eliminadas inmediatamente del dispositivo, advierte Check Point Research. Estas 'apps' son:
- Shortcut name (visible en el menú), [Nombre de la aplicación (visible en las propiedades de la aplicación)
- AppleProtect, [se.spitfire.appleprotect.it]
- Axgle, [com.absolutelycold.axgle]
- Buzz, [org.thoughtcrime.securesms]
- Google Play Service, [com.demo.testinh]
- Idea Security, [com.demo.testing]
- SecurIt, [se.joscarsson.privify.spitfire]
- wallpaper girls, [com.demo.testing]
- Wifi Pasword Cracker, [com.services.deamon]
Los expertos asimismo recomiendan instalar algún 'software' antivirus confiable y revisar el 'smartphone' tras eliminar estas aplicaciones.
