Explotan la falla de la aplicación Telegram para propagar malware oculto en videos

Una falla de seguridad de día cero en la aplicación móvil de Telegram para Android llamada EvilVideo hizo posible que los atacantes accedieran a archivos maliciosos disfrazados de videos de aspecto inofensivo.

El exploit apareció a la venta por un precio desconocido en un foro clandestino el 6 de junio de 2024, dijo ESET. Tras la divulgación responsable el 26 de junio, el problema fue abordado por Telegram en la versión 10.14.5 publicada el 11 de julio.

“Los atacantes podrían compartir cargas útiles maliciosas de Android a través de canales, grupos y chat de Telegram, y hacerlas aparecer como archivos multimedia”, dijo el investigador de seguridad Lukáš Štefanko en un informe.

Se cree que la carga útil se elabora utilizando la interfaz de programación de aplicaciones (API) de Telegram, que permite la carga programática de archivos multimedia en chats y canales. Al hacerlo, permite a un atacante camuflar un archivo APK malicioso como un video de 30 segundos.

A los usuarios que hacen clic en el video se les muestra un mensaje de advertencia real que indica que el video no se puede reproducir y les insta a intentar reproducirlo con un reproductor externo. En caso de que continúen con el paso, se les pedirá posteriormente que permitan la instalación del archivo APK a través de Telegram. La aplicación en cuestión se llama “xHamster Premium Mod”.

“De forma predeterminada, los archivos multimedia recibidos a través de Telegram están configurados para descargarse automáticamente”, dijo Štefanko. “Esto significa que los usuarios con la opción habilitada descargarán automáticamente la carga maliciosa una vez que abran la conversación en la que se compartió”.

Si bien esta opción se puede deshabilitar manualmente, la carga útil aún se puede descargar tocando el botón de descarga que acompaña al supuesto video. Vale la pena señalar que el ataque no funciona en los clientes de Telegram para la web o en la aplicación dedicada de Windows.

Actualmente no está claro quién está detrás del exploit y qué tan ampliamente se usó en ataques del mundo real. El mismo actor, sin embargo, anunció en enero de 2024 un encriptador de Android totalmente indetectable (también conocido como criptor) que, según se informa, puede eludir Google Play Protect.

El éxito viral de Hamster Kombat genera un imitador malicioso#

El desarrollo se produce cuando los ciberdelincuentes están capitalizando el juego de criptomonedas basado en Telegram Hamster Kombat para obtener ganancias monetarias, con ESET descubriendo tiendas de aplicaciones falsas que promocionan la aplicación, repositorios de GitHub que alojan Lumma Stealer para Windows bajo la apariencia de herramientas de automatización para el juego, y un canal de Telegram no oficial que se utiliza para distribuir un troyano de Android llamado Ratel.

Se estima que el popular juego, que se lanzó en marzo de 2024, tiene más de 250 millones de jugadores, según el desarrollador del juego. El CEO de Telegram, Pavel Durov, ha llamado a Hamster Kombat el “servicio digital de más rápido crecimiento en el mundo” y que “el equipo de Hamster acuñará su token en TON, presentando los beneficios de blockchain a cientos de millones de personas”.

Ratel, ofrecido a través de un canal de Telegram llamado “hamster_easy”, está diseñado para hacerse pasar por el juego (“Hamster.apk”) y solicita a los usuarios que le otorguen acceso a notificaciones y se establezcan como la aplicación de SMS predeterminada. Posteriormente, inicia el contacto con un servidor remoto para obtener un número de teléfono como respuesta.

En el siguiente paso, el malware envía un mensaje SMS en ruso a ese número de teléfono, probablemente perteneciente a los operadores de malware, para recibir instrucciones adicionales por SMS.

“Los actores de amenazas se vuelven capaces de controlar el dispositivo comprometido a través de SMS: el mensaje del operador puede contener un texto que se enviará a un número específico, o incluso instruir al dispositivo para que llame al número”, dijo ESET. El malware también es capaz de comprobar el saldo actual de la cuenta bancaria de la víctima para Sberbank Rusia enviando un mensaje con el texto баланс (traducción: saldo) al número 900″.

Ratel abusa de sus permisos de acceso a las notificaciones para ocultar las notificaciones de no menos de 200 aplicaciones en función de una lista codificada incrustada en ella. Se sospecha que esto se está haciendo en un intento de suscribir a las víctimas a varios servicios premium y evitar que sean alertadas.

La firma eslovaca de ciberseguridad dijo que también detectó escaparates de aplicaciones falsas que afirman ofrecer Hamster Kombat para descargar, pero que en realidad dirigen a los usuarios a anuncios no deseados, y repositorios de GitHub que ofrecen herramientas de automatización de Hamster Kombat que implementan Lumma Stealer en su lugar.

“El éxito de Hamster Kombat también ha sacado a la luz a los ciberdelincuentes, que ya han comenzado a desplegar malware dirigido a los jugadores del juego”, dijeron Štefanko y Peter Strýček. “La popularidad de Hamster Kombat hace que sea propicio para el abuso, lo que significa que es muy probable que el juego atraiga a más actores maliciosos en el futuro”.

El malware BadPack para Android se cuela por las grietas

Más allá de Telegram, los archivos APK maliciosos dirigidos a dispositivos Android también han tomado la forma de BadPack, que se refiere a archivos de paquetes especialmente diseñados en los que la información del encabezado utilizada en el formato de archivo ZIP se ha alterado en un intento de obstruir el análisis estático.

Al hacerlo, la idea es evitar que el archivo AndroidManifest.xml, un archivo crucial que proporciona información esencial sobre la aplicación móvil, se extraiga y se analice correctamente, lo que permite que se instalen artefactos maliciosos sin generar ninguna señal de alerta.

Esta técnica fue ampliamente documentada por Kaspersky a principios de abril en relación con un troyano de Android conocido como SoumniBot que ha atacado a usuarios en Corea del Sur. Los datos de telemetría recopilados por la Unidad 42 de Palo Alto Networks desde junio de 2023 hasta junio de 2024 han detectado casi 9.200 muestras de BadPack en la naturaleza, aunque ninguna de ellas se ha encontrado en Google Play Store.

“Estos encabezados manipulados son una característica clave de BadPack, y tales muestras generalmente representan un desafío para las herramientas de ingeniería inversa de Android”, dijo el investigador de Unit 42, Lee Wei Yeong, en un informe publicado la semana pasada. “Muchos troyanos bancarios basados en Android como BianLian, Cerberus y TeaBot usan BadPack”.