Los investigadores de seguridad de Zimperium han informado de la existencia de un malware para Android que es capaz de imitar a aplicaciones populares para hacerse con datos y propagarse mediante las listas de contactos de los usuarios.
Denominado como ‘ClayRat’, se encarga de suplantar apps como WhatsApp, TikTok, Google Photos o YouTube. Además, su distribución se lleva a cabo mediante canales de Telegram y sitios de phishing independientes.
Dichos sitios engañan a las víctimas haciéndoles pensar que están visitando páginas legítimas y después las redirigen a canales de Telegram donde se aloja el malware.
Cuando las víctimas instalan ClayRat, el malware se sirve del rol de controlador de SMS predeterminado de Android, permitiendo eludir las solicitudes de permisos de tiempo de ejecución estándar y obtener acceso a datos confidenciales sin generar alarmas.
“Al otorgársele este rol a una aplicación, obtiene amplio acceso al contenido SMS y a las funciones de mensajería, lo que permite al spyware leer, almacenar y reenviar mensajes de texto a gran escala”, comentan desde Zimperium.
“A diferencia de los permisos de ejecución individuales que requieren aprobación por capacidad, el rol de gestor de SMS consolida múltiples y potentes capacidades en un solo paso de autorización”, añade.
ClayRat busca exfiltrar detalles como mensajes SMS, registros de llamadas, datos del dispositivo y selfies tomados con la cámara frontal. Tras extraer la información el malware se propaga todavía más enviando un enlace de descarga malicioso a todos los contactos de la agenda del dispositivo que ha infectado.
Se sabe el pecado, pero no el pecador
La firma de seguridad no tiene constancia de quién está detrás de esta amenaza, pero asegura que está activo. En los últimos tres meses se han hallado más de 600 variantes y medio centenar de droppers diferentes, cada cual con su propia capa de ofuscación independiente.
“ClayRat demuestra cómo los atacantes están evolucionando más rápido que nunca, combinando ingeniería social, autopropagación y abuso del sistema para maximizar el alcance”, apostilla Shridhar Mittal, CEO de Zimperium.
Los usuarios españoles pueden estar tranquilos, porque la amenaza se dirige principalmente a Rusia.
Acerca del autor
