MysteryBot malware combina las características de la banca troyano, Registrador de teclas y ransomware

Los expertos de ThreatFabric empresa encontrado un malware móvil MysteryBot, que ataca a los dispositivos que se ejecutan en Android 7 y 8. La nueva amenaza que combina las funciones de la banca Troyano, Registrador de teclas y ransomware.

Los investigadores informan de que MysteryBot es, sin duda conectado con otro malware, que es LokiBot banco de Troya, como se indica en las similitudes se encuentran en el código fuente. Además, este nuevo malware utiliza el mismo servidor de control y los especialistas ya han detectado que entre los recientes campañas maliciosas. No queda claro por qué los autores de LokiBot interruptor para el desarrollo de un nuevo malware. Tal vez la salida de la LokiBot código fuente, que se produjo hace un par de meses, fue la razón para hacerlo. Después de ese incidente, varios grupos de hackers comenzaron a utilizar este Troyano.

Los especialistas de escribir que MysteryBot difiere mucho de la de su predecesor, así como de la competencia por los banqueros para Android (por ejemplo, ExoBot 2.5, Anubis II, DiseaseBot, CryEye). De acuerdo a ThreatFabric de datos, MysteryBot es el primero de los Troyanos bancarios, con capacidad para visualizar correctamente superposiciones en Android 7 y 8.

Superposiciones ha sido utilizado por los creadores de virus y ayudar a la pantalla de inicio de sesión falso páginas o formularios de entrada por encima de otras aplicaciones legítimas de windows. Pero después de la versión de Android de 7 y 8, los ciberdelincuentes tenido algunos problemas, como que los ingenieros de Google añadido nuevos mecanismos de protección para su sistema operativo. Después de eso, los desarrolladores de malware no podía hacer superposiciones a aparecer en la pantalla del dispositivo infectado en el tiempo, ya que perdió la posibilidad de hacer un seguimiento cuando la víctima se ejecuta una aplicación en su dispositivo.

De acuerdo a ThreatFabric investigación, los autores de MysteryBot resuelto este problema. Ellos usan la PACKAGE_USAGE_STATS permiso para mostrar superposiciones en el tiempo. De tal manera Android muestra las estadísticas de uso de esta aplicación y los hackers indirectamente obtener otra información acerca de la aplicación actual.

La característica única de Registrador de teclas

Este malware también está equipado con la función de Registrador de teclas, en lugar del usual. Cuando el usuario escribe texto en el teclado en pantalla, MysteryBot no tomar capturas de pantalla para cada letra, sino que se basa en la grabación de gestos táctiles. Malware graba la imagen de gestos táctiles, lo compara con el teclado de la pantalla de la víctima y con base en esta información, se llega a conclusiones sobre el texto escrito.

MysteryBot y su imperfecta extorsión módulo

MysteryBot está equipado con la extorsión funcionalidad que es obviamente derivado de LokiBot. Los investigadores dicen que el malware puede bloquear los archivos del usuario en almacenes externos. En este caso, no cifrar los archivos en sí, sino que las coloca en diferentes archivos ZIP, cada uno de los cuales está protegido por contraseña.

Según los expertos punto de vista, la extorsión módulo no es lo suficientemente eficaz como, por ejemplo, la longitud de los archivos de contraseñas es igual a 8 caracteres, es decir, son muy fáciles de romper. Además, la contraseña y el ID único para cada víctima se envían a Myster_L0cker panel de control remoto. Sin embargo, el ID es un número de 0 a 9999, y antes de enviar, no hay verificación de la IDENTIFICACIÓN existente ya. Es decir, las contraseñas de algunas víctimas pueden ser fácilmente sustituidos por los nuevos víctimas tan pronto como el ID está sincronizado con el MysteryBot backend.

MysteryBot está disfrazado de Flash Player para Android

Según los analistas de ThreatFabric, no hay ninguna campaña de distribución de MysteryBot sin embargo, el malware está todavía en desarrollo. Sin embargo, los expertos predicen que los métodos de distribución será el mismo que los anteriores de LokiBot: SMS de spam y phishing.

Los expertos recuerdan que es mejor para descargar aplicaciones sólo desde la oficial de Google Play Store, y el usuario también debe ser sospechosa de productos que solicitar permiso para utilizar el servicio de Accesibilidad.