Las brechas de seguridad suelen poner en bandeja de los ciberdelincuentes la posibilidad de crear o alimentar un malware para que se convierta en una auténtica amenaza para todos nosotros. En esta ocasión hemos conocido que SpyNote es un malware Android que lo ha tenido un poco más fácil tras haberse filtrado de su código fuente, que ha dado como resultado la aparición de otro malware relacionado.

La familia de malware crece

Tal y como hemos conocido ahora, en los últimos meses los expertos en ciberseguridad han notado un importante aumento de la actividad de una familia de malware ya veterana en Android, como es SpyNote. Y todo se debería a que una nueva fuga del código fuente de este malware había desembocado en la existencia de «CypherRat» que no deja de ser una variante del software malicioso de esta familia.

De hecho se vale de los mismo rasgos que han caracterizado a esta familia de malware en los últimos años. Esto quiere decir que puede realizar accesos remotos a los dispositivos de las víctimas, rastrear su posición gracias a la conectividad GPS, monitorizar el estado y la actividad del teléfono o incluso transformarse en un troyano para suplantar la identidad de nuestro banco con el fin de robarnos la cuenta. Parece ser que el origen de esta nueva variante conocida como «CypherRat» ha residido en los chats de Telegram. Concretamente en un canal privado donde se distribuyó entre el mes de agosto de 2021 y octubre de 2022, por lo que ha estado accesible para los hackers más de un año.

Ataques contra bancos y redes sociales

A la vez que se ha detectado esta mayor actividad de la familia de malware relacionada con esta variante, se ha detectado que prácticamente de inmediato, cuando ha caído este malware en manos de los hackers, han aparecido diferentes campañas de suplantación contra diferentes entidades bancarias, algunas de ellas bastante notorias, como por ejemplo HSBC o Deutsche Bank. Básicamente este software ha buscado suplantar a estas apps y plataformas bancarias para que las víctimas entregaran sus credenciales casi sin darse cuenta.

Como hemos visto «CypherRat» ha tenido numerosas ramificaciones llevadas a cabo por todos esos ciberdelincuentes que se han pasado por el canal de Telegram que lo distribuía. Algunas de estas se han centrado también en tiendas como la Play Store o redes sociales como Facebook. Desde ThreatFabric han advertido que estas ramificaciones podrían ser aún más grandes, y ser la antesala de una expansión del malware mucho más masiva.

Se sabe que este malware se basa, como ocurre habitualmente, en el acceso a permisos de sistema privilegiados. Con el acceso al Servicio de Accesibilidad de Android puede interceptar mensajes SMS, de tal forma que puede burlar los sistemas de verificación en dos pasos, así como grabar llamadas de voz o incluso grabar vídeo de la cámara. Por último se apunta a que estas apps maliciosas basadas en SpyNote a través de CypherRat es probable que lleguen a nuestros móviles gracias a numerosas campañas de phishing, orientadas a que bajemos la guardia para terminar descargando un software malicioso sin darnos cuenta.