Alertan por malware “Droidbot” en 70 apps de Android… ¡podría expandirse a Latinoamérica!
Investigadores dela empresa de ciberseguridad Cleafy descubrieron un nuevo ‘malware‘ denominado DroidBot integrado a 77 aplicaciones bancarias, servicios de intercambio de criptomonedas y entidades relacionadas para el sistema operativo Android.
“A finales de octubre de 2024, el equipo de Cleafy TIR descubrió y analizó un nuevo troyano de acceso remoto (RAT) para Android. Tras la investigación, se encontraron rastros de esta amenaza que se remontan a junio de 2024”.
Cleafy
Este agente malicioso no ha sido identificado con alguna familia de malware conocida, por lo que fue clasificado con el nombre DroidBot, basándose en un nombre de dominio utilizado por este malware, escribió la compañía de seguridad digital este jueves en un reporte detallado de la amenaza.
[TE RECOMENDAMOS: Checa si las tienes y bórralas: estas apps roban tus datos bancarios]
¿Cuáles son las apps identificadas con este malware?
Cleafy ofreció el nombre con el que se identifica a las 77 aplicaciones específicas vinculadas con DroidBot:
- com.arkea.android.application.cmb
- com.axabanque.fr
- com.bancocajasocial.geolocation
- com.bankinter.launcher
- com.bbva.bbvacontigo
- com.binance.dev
- com.boursorama.android.clients
- com.caisseepargne.android.mobilebanking
- com.cajasur.android
- com.cic_prod.bad
- com.cm_prod.bad
- com.CredemMobile
- com.fullsix.android.labanquepostale.accountaccess
- com.grupocajamar.wefferent
- com.kraken.trade
- com.kubi.kucoin
- com.kutxabank.android
- com.latuabancaperandroid
- com.lynxspa.bancopopolare
- com.mediolanum.android.fullbanca
- com.mootwin.natixis
- com.ocito.cdn.activity.banquelaydernier
- com.ocito.cdn.activity.creditdunord
- com.okinc.okcoin.intl
- com.okinc.okex.gp co.mona.android
- com.rsi
- com.sella.BancaSella
- com.targoes_prod.bad
- com.tecnocom.cajalaboral
- com.unicredit
- com.vipera.chebanca
- com.wrx.wazirx es.bancosantander.apps
- es.caixagalicia.activamovil
- es.caixaontinyent.caixaontinyentapp
- es.cecabank.ealia2103appstore
- es.evobanco.bancamovil
- es.ibercaja.ibercajaapp
- es.lacaixa.mobile.android.newwapicon
- es.openbank.mobile
- es.pibank.customers
- es.santander.Criptocalculadora
- fr.banquepopulaire.cyberplus
- fr.bred.fr
- fr.creditagricole.androidapp
- fr.lcl.android.customerarea
- io.metamask
- it.bcc.iccrea.mycartabcc
- it.bnl.apps.banking
- it.carige
- it.copergmps.rt.pf.android.sp.bmps
- it.creval.bancaperta
- it.icbpi.mobile
- it.nogood.container
- it.popso.SCRIGNOapp
- mobi.societegenerale.mobile.lappli
- net.bnpparibas.mescomptes
- net.inverline.bancosabadell.officelocator.android
- posteitaliane.posteapp.appbpol
- posteitaliane.posteapp.apppostepay
- www.ingdirect.nativeframe
- com.garanti.cepsubesi
- tr.gov.turkiye.edevlet.kapisi
- com.ykb.android
- com.ziraat.ziraatmobil
- com.pttfinans
- com.fibabanka.Fibabanka.mobile
- com.pozitron.iscep
- com.mobillium.papara
- com.vakifbank.mobile
- com.ingbanktr.ingmobil
- finansbank.enpara
- com.denizbank.mobildeniz
- tr.com.sekerbilisim.mbank
- com.finansbank.mobile.cepsube
- com.tmobtech.halkbank
Se espera que Droidbot se extienda a Latinoamérica
Con corte al 4 de diciembre, Se han observado campañas activas en países como Reino Unido, Italia, Francia, España y Portugal, lo que indica una posible expansión a América Latina, según Clearfy.
Por otro lado, las inconsistencias observadas en múltiples muestras indican que este software malicioso aún se encuentra en desarrollo activo. “Esto sugiere esfuerzos en curso para mejorar la eficacia del malware y adaptarlo a entornos específicos”, de acuerdo con los expertos.
La campaña de este troyano se ha vinculado a Turquía, lo que refleja una tendencia más amplia de adaptación de tácticas y enfoque geográfico, según los investigadores.
¿Qué es DroidBot y cómo funciona?
DroidBot es un troyano sofisticado de acceso remoto que combina el uso compartido de pantalla remota de Virtual Network Computing (VNC) con funciones que suelen asociarse con ‘software’ espía (‘spyware’), según el equipo de Clearfy.
Para atraer a las víctimas y que descarguen este ‘malware‘, los ciberdelincuentes utilizan señuelos comunes que se usan en campañas de distribución de virus bancario. De esa manera, se disfraza de aplicaciones de seguridad genéricas, servicios de Google o ‘apps’ bancarias populares.
Esta amenaza incluye un ‘keylogger‘ y rutinas de monitorización. De esa manera, una vez se haya instalado en el dispositivo, puede interceptar mensajes SMS entrantes de instituciones financieras, cuando envían números de autenticación de transacciones.
Además, puede tener acceso a las interacciones del usuario con la pantalla. “Gracias a esto, los ciberdelincuentes pueden robar tanto su información personal como sus credenciales”, según Cleafy.
¡Advierten por la resistencia de este troyano!
DroidBot dispone de un mecanismo de comunicación de doble canal. Esto significa que los datos salientes de los dispositivos infectados se transmiten mediante un protocolo de mensajería ligero, mientras que los comandos entrantes se reciben a través de un protocolo HTTPS.
“De esa manera, este doble sentido mejora la flexibilidad operativa del troyano y su resistencia“, según los expertos de la empresa de ciberseguridad.
DroidBot opera como una plataforma de ‘malware‘ como servicio (MaaS, por sus siglas en inglés), es decir, un modelo de distribución de ‘software‘ malicioso a individuos o grupos con menos recursos o capacidad técnica.
