El tema de la pandemia se ha convertido en un asunto muy utilizado por agentes de amenazas que lanzan ataques de ingeniería social. Esta fue la técnica que Transparent Tribe adoptó en sus campañas, un agente de amenazas rastreado por Kaspersky durante más de cuatro años. Hallazgos recientes muestran que el grupo ha estado trabajando activamente para mejorar su conjunto de herramientas y expandir su alcance para incluir amenazas a dispositivos móviles.

Durante su investigación sobre Transparent Tribe, Kaspersky encontró un nuevo implante de Android utilizado por este grupo para espiar dispositivos móviles y que fue distribuido en la India como aplicaciones pornográficas y apps falsas de rastreo de COVID-19. La conexión entre el grupo y esas dos aplicaciones pudo ser realizada gracias a los dominios relacionados que el agente utilizó para alojar archivos maliciosos empleados en diferentes campañas.

Ambas aplicaciones, una vez descargadas, intentan instalar otro archivo de paquetes de Android –una versión modificada de la herramienta de acceso remoto de Android AhMyth (RAT)–, un malware de código abierto que se puede bajar de GitHub y que fue creado agregando una carga maliciosa dentro de otras aplicaciones legítimas.

La versión modificada del malware es diferente en cuanto a funcionalidad de la versión estándar. Incluye nuevas funciones que fueron agregadas por los atacantes para mejorar la exfiltración de datos, pero que carece de algunas funciones básicas como la de robar fotografías de la cámara. La aplicación es capaz de bajar nuevas aplicaciones al teléfono, acceder a los mensajes SMS, el micrófono, los registros de llamadas, rastrear la ubicación del dispositivo, así como enumerar y subir archivos a un servidor externo desde el teléfono.

“Los nuevos hallazgos subrayan los esfuerzos de los miembros de Transparent Tribe para agregar nuevas herramientas que amplíen aún más sus operaciones y lleguen a sus víctimas a través de diferentes vectores de ataque, que ahora incluyen los dispositivos móviles. También vemos que el agente está trabajando constantemente para mejorar y modificar las herramientas que utiliza. Para mantenerse protegidos contra esas amenazas, los usuarios deben ser más cuidadosos que nunca al evaluar las fuentes de donde bajan contenido y asegurarse de que sus dispositivos estén protegidos. Esto es especialmente relevante para aquellos que saben que podrían convertirse en el objetivo de un ataque APT”, comenta Giampaolo Dedola, investigador senior de seguridad en Kaspersky.

Información detallada sobre los indicadores de compromiso relacionados con este grupo, incluidos los hashes de archivos y los servidores C2, se pueden consultar en el Kaspersky Threat Intelligence Portal.

Para mantenerse a salvo de la amenaza, Kaspersky recomienda tomar las siguientes medidas de seguridad:

• Proporciona a tu equipo de SOC acceso a la inteligencia de amenazas (TI, por sus siglas en inglés) más reciente. El Kaspersky Threat Intelligence Portal, único punto de acceso para el TI de la empresa, proporciona información y conocimientos sobre ciberataques recopilados por Kaspersky durante más de 20 años.

• Comprueba que tu solución de seguridad para endpoints proporcione protección para los dispositivos móviles. Kaspersky Endpoint Security for Business garantiza la protección contra el malware móvil y avala que solo se puedan utilizar aplicaciones confiables en dispositivos corporativos.

• Asegúrate de que tus empleados conozcan los conceptos básicos de seguridad para dispositivos móviles, para lo cual debes ofrecerles un curso de concienciación sobre seguridad que abarque esos aspectos. Por ejemplo, Kaspersky Adaptive Online Training puede ayudar.

Para obtener más detalles sobre los hallazgos relacionados con Transparent Tribe, consulta el informe completo en Securelist.