El nuevo malware para Android ‘Ajina.Banker’ roba datos financieros y elude la 2FA a través de Telegram

Los clientes bancarios de la región de Asia Central han sido objeto de una nueva cepa de malware para Android con nombre en clave Ajina.Banker desde al menos noviembre de 2024 con el objetivo de recopilar información financiera e interceptar mensajes de autenticación de dos factores (2FA).

Group-IB, con sede en Singapur, que descubrió la amenaza en mayo de 2024, dijo que el malware se propaga a través de una red de canales de Telegram establecidos por los actores de amenazas bajo la apariencia de aplicaciones legítimas relacionadas con la banca, los sistemas de pago y los servicios gubernamentales, o los servicios públicos cotidianos.

“El atacante tiene una red de afiliados motivados por el beneficio financiero, propagando malware bancario de Android que se dirige a usuarios comunes”, dijeron los investigadores de seguridad Boris Martynyuk, Pavel Naumov y Anvar Anarkulov.

Los objetivos de la campaña en curso incluyen países como Armenia, Azerbaiyán, Islandia, Kazajstán, Kirguistán, Pakistán, Rusia, Tayikistán, Ucrania y Uzbekistán.

Hay pruebas que sugieren que algunos aspectos del proceso de distribución de malware basado en Telegram pueden haberse automatizado para mejorar la eficiencia. Las numerosas cuentas de Telegram están diseñadas para servir mensajes elaborados que contienen enlaces, ya sea a otros canales de Telegram o fuentes externas, y archivos APK a objetivos involuntarios.

El uso de enlaces que apuntan a canales de Telegram que alojan los archivos maliciosos tiene un beneficio adicional en el sentido de que elude las medidas de seguridad y las restricciones impuestas por muchos chats de la comunidad, lo que permite a las cuentas evadir las prohibiciones cuando se activa la moderación automática.

Además de abusar de la confianza que los usuarios depositan en servicios legítimos para maximizar las tasas de infección, el modus operandi también implica compartir los archivos maliciosos en los chats locales de Telegram haciéndolos pasar por obsequios y promociones que afirman ofrecer lucrativas recompensas y acceso exclusivo a los servicios.

“El uso de mensajes temáticos y estrategias de promoción localizadas demostró ser particularmente efectivo en los chats comunitarios regionales”, dijeron los investigadores. “Al adaptar su enfoque a los intereses y necesidades de la población local, Ajina pudo aumentar significativamente la probabilidad de infecciones exitosas”.

También se ha observado que los actores de amenazas bombardean los canales de Telegram con varios mensajes utilizando varias cuentas, a veces simultáneamente, lo que indica un esfuerzo coordinado que probablemente emplea algún tipo de herramienta de distribución automatizada.

El malware en sí es bastante sencillo ya que, una vez instalado, establece contacto con un servidor remoto y solicita a la víctima que le conceda permiso para acceder a los mensajes SMS, las API de números de teléfono y la información actual de la red móvil, entre otros.

Ajina.Banker es capaz de recopilar información de la tarjeta SIM, una lista de aplicaciones financieras instaladas y mensajes SMS, que luego se filtran al servidor.

Las nuevas versiones del malware también están diseñadas para servir páginas de phishing en un intento de recopilar información bancaria. Además, pueden acceder a registros de llamadas y contactos, así como abusar de la API de servicios de accesibilidad de Android para evitar la desinstalación y otorgarse permisos adicionales.

“La contratación de codificadores de Java, creado por el bot de Telegram con la propuesta de ganar algo de dinero, también indica que la herramienta está en proceso de desarrollo activo y cuenta con el apoyo de una red de empleados afiliados”, dijeron los investigadores.

“El análisis de los nombres de los archivos, los métodos de distribución de muestras y otras actividades de los atacantes sugiere una familiaridad cultural con la región en la que operan”.

La revelación se produce cuando Zimperium descubrió enlaces entre dos familias de malware para Android rastreadas como SpyNote y Gigabud (que es parte de la familia GoldFactory que también incluye GoldDigger).

“Dominios con una estructura realmente similar (usando las mismas palabras clave inusuales que los subdominios) y objetivos utilizados para difundir muestras de Gigabud y también se usaron para distribuir muestras de SpyNote”, dijo la compañía. “Esta superposición en la distribución muestra que es probable que el mismo actor de amenazas esté detrás de ambas familias de malware, lo que apunta a una campaña amplia y bien coordinada”.