Los investigadores de Check Point Research descubrieron un nuevo troyano de acceso remoto móvil (MRAT, por sus siglas en inglés) que se hace pasar por un administrador de dispositivos detrás de los servicios estándar de Google y es capaz de tomar el control del ‘smartphone’ y exfiltrar imágenes, datos de ubicación, contactos y mensajes, entre otras cosas.
Este MRAT, denominado Rogue, representa una amenaza para los teléfonos Android. Tras ser instalado en un nuevo dispositivo, Rogue empieza a pedir a la víctima los permisos necesarios y al conseguirlos oculta su ícono para evitar la detección.
Al mismo tiempo, si no logra obtener derechos de administrador, el ‘malware’ le pedirá repetidamente al usuario que se los otorgue. Además, si el propietario del teléfono infectado intenta revocar los derechos, Rogue muestra un mensaje que dice: ‘¿Está seguro de que quiere borrar todos los datos?’.
Rogue no solo puede robar fotos, ubicación, contactos y mensajes del usuario, sino también es capaz de obtener acceso al micrófono y a la cámara del dispositivo, según explicó a la revista Forbes el especialista de Check Point Research Yaniv Balmas.
Además, el ‘malware’ puede hacer llamadas y enviar mensajes de texto, grabar audio, tomar capturas de pantalla, eliminar archivos e instalar aplicaciones. Con Rogue incluso es posible acceder a la base de datos de WhatsApp y borrar todos los mensajes guardados. El troyano monitorea también las llamadas entrantes y salientes, con capacidad para grabarlas, y puede bloquear llamadas de números específicos.
Este nuevo MRAT utiliza Google Firebase como ‘máscara’ para sus comunicaciones con el servidor de control y comando externo de su operador y cada notificación que recibe el usuario se guarda en una base de datos local y se carga en Firebase. Con ello, el ‘malware’ separa las notificaciones de Facebook, Instagram, WhatsApp, Skype y Telegram, entre otras, “que generalmente contienen datos más sensibles y de mayor valor”.
Rogue se encuentra dentro de una serie de aplicaciones que deben ser eliminadas inmediatamente del dispositivo, advierte Check Point Research. Estas ‘apps’ son:
Shortcut name (visible en el menú), [Nombre de la aplicación (visible en las propiedades de la aplicación)]
AppleProtect, [se.spitfire.appleprotect.it]
Axgle, [com.absolutelycold.axgle]
Buzz, [org.thoughtcrime.securesms]
Google Play Service, [com.demo.testinh]
Idea Security, [com.demo.testing]
SecurIt, [se.joscarsson.privify.spitfire]
SecurIt, [sc.phoenix.securit]
Service, [com.demo.testing]
Settings, [com.demo.testing]
Settings, [com.hawkshawspy]
Settings, [com.services.deamon]
wallpaper girls, [com.demo.testing]
Wifi Pasword Cracker, [com.services.deamon]
Los expertos asimismo recomiendan instalar algún ‘software’ antivirus confiable y revisar el ‘smartphone’ tras eliminar estas aplicaciones.
Rogue fue creado por dos diferentes desarrolladores de ‘malware’ para Android, conocidos como Triangulum y HexaGoN Dev, y actualmente “es probable que haya cientos de miles de teléfonos infectados”, señaló Balmas, advirtiendo que este número pronto podría aumentar. “Dado el patrón de trabajo de estos chicos y las sólidas campañas de ‘marketing’, esto puede cambiar rápidamente y hacer que esto sea muy popular”, alertó el experto.