¡Alerta! El troyano Xenomorph; el nuevo malware que desea tus datos bancarios en el móvil y es difundido por decenas de apps maliciosas

El pasado 10 de noviembre, el equipo de Zscaler, reconocida empresa de seguridad en la nube en California (Estados Unidos), publicó un nuevo estudio con el que resalta la detección del troyano bancario Xenomorph. Se trata de un nuevo y potente malware que está incrustado en la app “Todo: Day Manager” en Google Play Store y en muchas más apps. Este es capaz de robar credenciales de aplicaciones bancarias en los móviles, sustraer contraseñas e interceptar SMS o notificaciones.

Apoyándose de la legitimidad del servicio de Google, Xenomorph solicita a los usuarios que habiliten el permiso de acceso y después se agrega a sí mismo como administrador del dispositivo, por lo que no se puede desinstalar. De esta manera, permanece en los dispositivos y engaña a los usuarios para obtener sus datos bancarios y generar sus ciberataques.

Nuevo informe de Zscaler reporta el descubrimiento del troyano Xenomorph

En función de sus políticas de privacidad, parece que Google se esfuerza por proporcionar a sus usuarios una tienda de aplicaciones que sea lo más segura posible. Sin embargo, hay ciertas excepciones que resultan preocupantes para los expertos en ciberseguridad, ya que algunos malware peligrosos pueden colarse en su tienda de app, Google Play, para aprovecharse de la confianza de sus usuarios.

Tal es el caso de Xenomorph, un nuevo malware que se considera uno de los troyanos bancarios más peligrosos de la actualidad. El cual, fue descubierto por medio de una investigación efectuada por el equipo de Zscaler, reconocida empresa de seguridad en la nube con sede en California, recientemente. Dicha investigación fue ejecutada tras tener ciertas sospechas por presentar un ciclo de infección similar con el troyano bancario llamado “Cooper”. La cual se publicó el pasado 10 de noviembre.

The Zscaler ThreatLabz team has recently discovered the #Xenomorph banking trojan embedded in the "Todo: Day manager" app in the #GooglePlay store: https://t.co/X8ttCN4Iub

Full IOCs are available in our GitHub repository here: https://t.co/F9pRm8IzmD pic.twitter.com/jBSeA6XZlg

— Zscaler ThreatLabz (@Threatlabz) November 10, 2022

En el estudio de Zscaler, los expertos resaltan que este tipo de malware es silencioso y ha permanecido incrustado en la app “Todo: Day Manager”, una herramienta de estilo de vida disponible en Play Store. Desafortunadamente, esta acumulaba más de 500.000 descargas, por lo que parecía un simple organizador de tareas bastante confiable, aunque intentaba apoderarse del dinero de sus usuarios.

Cuando la aplicación se abre por primera vez, se comunica con un servidor de Firebase para obtener la URL de la carga útil del malware bancario y tomar el control.

Por medio de la aplicación, Xenomorph solicitaba a los usuarios que habilitaran el permiso de acceso y tras obtenerlo, se agregaba a sí mismo como administrador del dispositivo con el fin de evitar que los usuarios pudieran deshabilitarlo. Dado que, al convertirse en administrador del terminal, se convertía en un elemento desinstalable. Gracias a esto, podía proceder a crear una superposición de aplicaciones bancarias legítimas para engañar a los usuarios para que ingresaran sus datos y entrar a sus cuentas de banco.

Xenomorph se ha catalogado como un malware que ha logrado robar información de 56 bancos, hasta el momento.

El principal objetivo de dicho malware se basa en robar información financiera confidencial de miles de usuarios, para apoderarse de sus cuentas bancarias y tener la potestad de realizar transacciones no autorizadas. No conforme con esto, Xenomorph también vendía todos los datos robados a otros compradores interesados en perpetrar ataques similares.

Adicional a eso, el malware era capaz de interceptar notificaciones, rastrear mensajes de texto SMS, ver las notificaciones de los usuarios, robar contraseñas de otras apps, obtener solicitudes de autenticación multifactor y arrebatar cualquier dato confidencial relevante. Todo esto, por su capacidad de cargar las superposiciones adecuadas en el dispositivo infectado, después de instalar los paquetes requeridos.

En consecuencia, desde Zscaler, alertan a los usuarios de Android sobre la existencia de este malware que también se ha ejecutado por medio de otras aplicaciones. Así, destacan que su motor de accesibilidad es muy detallado y ha sido diseñado con un enfoque modular para cada acción específica requerida, con el objetivo de admitir más funcionalidades y elevar su poder sobre los terminales.

Actualmente, la app ya no está en Google Play, dado que Google la eliminó tan rápido como fue consciente la amenaza.

Aquí algunas apps reportadas que no debes instalar para cuidarte de Xenomorph

Tristemente, el malware Xenomorph no sólo fue incrustado en la aplicación de “Todo: Day Manager”, sino que también se ha distribuido en la Google Play Store a través de centenares de apps genéricas. Por lo general, estas prometen optimizar la experiencia de los usuarios Android en su móvil o tablet, pero en realidad perpetran ataques con el fin de robar datos bancarios.

Se dice que Xenomorph está dirigido a usuarios de docenas de instituciones financieras en España, Portugal, Italia y Bélgica.

Una de estas apps, es conocida como “Fast Cleaner” y asegura que puede aumentar el rendimiento del dispositivo, sin embargo, no es así. Lo cierto, es que contiene incrustado el malware Xenomorph, obtiene la información bancaria de las víctimas. Lo peor, es que fue instalada en más de 50.000 dispositivos Android.

ThreatFabric registró la aplicación Fast Cleaner como miembro de la familia de cuentagotas “Gymdrop”, descubierta por primera vez en noviembre de 2021. También detectó que inserta cargas útiles que se hacen pasar por Google Play, Google Chrome o Bitcoin

Por otro lado, respecto a los bancos que han sido víctimas de los ataques de Xenomorph en mayor medida, se resumen en: CaixaBank, BBVA, Bankinter, Santander, Unicaja e ING Direct. Además, no se descartan otras plataformas dedicadas a alojar criptomonedas, ya que es un troyano que no solo se limita a acechar a las aplicaciones bancarias.