Las fiestas suelen ser usadas por los cibercriminales como pretexto para armar campañas y robar datos o infectar equipos. San Valentín no es la excepción. Detrás de tiendas, tarjetas o aplicaciones suelen esconderse para lograr sus objetivos.
En ese rubro se ubica uno de las últimas detecciones de ESET: una modalidad de campaña espía que utiliza una aplicación maliciosa para Android -a la que llamó GhostChat- la cual aparece disfrazada de aplicación de chat. La citada plataforma permite a los usuarios iniciar conversaciones con determinados perfiles femeninos que, en realidad, serían cuentas falsas operadas a través de WhatsApp.
Detrás de una fachada romántica, el verdadero propósito de la aplicación es habilitar la vigilancia encubierta, que permite monitorizar la actividad del dispositivo y filtrar datos confidenciales de forma continua, mientras la aplicación este instalada, informaron.
«La campaña utiliza un nivel de engaño no observado previamente en esquemas similares: los perfiles falsos presentan a las víctimas potenciales como bloqueados y requieren un código de acceso. Se trata de una táctica de ingeniería social para crear la impresión de «acceso exclusivo». Aunque no sabemos cómo se distribuye la aplicación maliciosa, suponemos que esta táctica de exclusividad se utiliza como parte del señuelo, con los supuestos códigos de acceso distribuidos junto con la aplicación», comentó Martina López, investigadora de Seguridad Informática de ESET Latinoamérica.
Relató que el ataque comienza con la distribución de la aplicación maliciosa disfrazada, que simula ser una plataforma de chat legítima llamada Dating Apps, sin pago, disponible en Google Play. Se usurpa la identidad de la app al utilizar su icono. Tras su ejecución, GhostChat, solicita varios permisos. Una vez concedidos, la app presenta al usuario una pantalla de inicio de sesión. Para continuar, las víctimas deben introducir sus credenciales de inicio de sesión.
La aplicación maliciosa en realidad nunca estuvo disponible en Google Play, en dónde los usuarios están protegidos, por lo que requerían la instalación manual y habilitar los permisos para instalar aplicaciones de fuentes desconocidas. Una vez instalada la aplicación, sus operadores pueden monitorizar y extraer datos confidenciales del dispositivo.
«Más allá de la exfiltración inicial, GhostChat se dedica al espionaje activo: configura un observador de contenidos para supervisar las imágenes recién creadas y las carga a medida que aparecen».
Martina López, investigadora de Seguridad Informática de ESET Latinoamérica
Una vez iniciada la sesión, a las víctimas se les presenta una selección de 14 perfiles femeninos, cada uno de ellos con foto, nombre y edad, detallaron desde ESET. Todos los perfiles están marcados como Bloqueados, y al pulsar sobre uno de ellos se pide a la víctima que introduzca un código de desbloqueo, dando la impresión de exclusividad.
Cada perfil está vinculado a un número de WhatsApp específico con un código de país pakistaní (+92). Los números están integrados en la aplicación, y no pueden modificarse a distancia, lo que sugiere que el operador posee varias tarjetas SIM pakistaníes o tiene acceso a un proveedor externo que las vende. El uso de números refuerza la ilusión de que los perfiles son personas reales establecidas en Pakistán y aumenta la credibilidad de la estafa.
Al introducir el código correcto, la aplicación redirige al usuario a WhatsApp para iniciar una conversación con el número asignado, presumiblemente operado por el actor de la amenaza. Mientras la víctima interactúa con la aplicación, incluso antes de iniciar sesión, el spyware GhostChat se ejecuta en segundo plano y supervisa silenciosamente la actividad del dispositivo y filtra datos confidenciales a un servidor de C&C.
«Más allá de la exfiltración inicial, GhostChat se dedica al espionaje activo: configura un observador de contenidos para supervisar las imágenes recién creadas y las carga a medida que aparecen. Además, programa una tarea periódica que busca nuevos documentos cada cinco minutos, lo que garantiza la vigilancia continua y la recopilación de datos», aseguró Martina López.
