Existen ataques que permiten esconder las actividades maliciosas para descargar amenazas o cambiar la configuración del sistema. Se conocen como Tapjacking. La superposición de actividades ha sido y es una de las técnicas más utilizadas por los ciberdelincuentes para el robo de credenciales en Android. Simplificándolo bastante, el overlay es una técnica que permite superponer pantallas preparadas por los delincuentes encima de la aplicación de banca online que tiene el usuario instalada

Overlay o superposición de pantallas

• Una de las técnicas favoritas de los troyanos bancarios para Android

La superposición de actividades ha sido y es una de las técnicas más utilizadas por los ciberdelincuentes para el robo de credenciales en Android. En este esquema, el malware monitorea constantemente el nombre del paquete de la actividad que actualmente está siendo desplegada al usuario, hasta que éste coincida con el nombre del paquete de la aplicación objetivo. Entonces, despliega un diálogo propio con la estética de la aplicación legítima, peticionando las credenciales al usuario.

Cómo funciona la técnica del overlay

Simplificándolo bastante, el overlay es una técnica que permite superponer pantallas preparadas por los delincuentes encima de la aplicación de banca online que tiene el usuario instalada. De esta forma, cada vez que una víctima intenta acceder a su aplicación de banca online, el malware que tiene instalado mostrará pantallas solicitando los datos de acceso y otra información relacionada con su cuenta para así robarla conforme la víctima la introduzca.

   Detectar la existencia de códigos maliciosos sobre el sistema operativo Android resulta un proceso complicado gracias a una combinación de diferentes factores. Los componentes y permisos definidos en las interfaces del sistema pueden ser igualitariamente utilizados con fines legítimos o maliciosos. Es decir, nos es imposible tomar una larga lista de permisos a aceptar como referente inexorable de comportamiento malintencionado.

A través de algo tan sencillo como la superposición de componentes de desarrollo y algún que otro permiso, los cibercriminales pueden robar datos privados o ganar el control remoto del sistema. Aún más, existe una variante de tipo de ataques que permite al cibercriminal esconder sus actividades para así descargar otras amenazas o cambiar la configuración del sistema, lo que conocemos como tapjacking.

Las superposiciones no son algo nuevo en seguridad. En realidad, el "Cloak & Dagger" que se basa en estas técnicas todavía se considera como uno de los ataques más populares que afectaron al sistema operativo Android. Pero esto es solo la punta del iceberg, ya que las superposiciones son utilizadas por varios tipos de malware, incluidos troyanos bancarios, software espía, escalamiento de privilegios, fraudes publicitarios o incluso ransomware.

Si bien la experiencia hasta ahora mostró lo contrario, la capacidad de una aplicación para dibujar sobre otras, todavía no se considera peligrosa. Después de todo, las vulnerabilidades que "jugaban" con la interfaz de usuario siempre se consideraron como frutas fáciles de alcanzar. Para el usuario promedio, esta habilidad parece ser totalmente inofensiva, por lo que permitir que una aplicación pueda superponerse con solo un clic de distancia.

Secuestrando los "toques" del usuario

El tapjacking consiste en la captura de los toques que el usuario da sobre la pantalla al mostrar dos actividades superpuestas. De esta manera, el usuario cree que realiza toques sobre la actividad que está viendo, mientras éstos están siendo verdaderamente desviados a la actividad subyacente, que permanece oculta a su vista.

Las consecuencias de estos ataques pueden generar verdaderos estragos. A través de este mecanismo, un atacante puede distribuir oficialmente una aplicación popular que peticione pocos permisos, como puede ser un juego de moda, y forzar por detrás la instalación de otras aplicaciones que de otra manera terminarían despertando la desconfianza del usuario debido a la larga lista de permisos requeridos. Todo esto, bajo el desconocimiento de quien está utilizando el terminal. 

Este tipo de debilidades en la interacción entre aplicaciones puede terminar con la realización de cambios en la configuración del sistema, de acciones en nombre del usuario en aplicaciones previamente instaladas, o con la descarga e instalación de otras amenazas informáticas desde diversas fuentes, ya sea desde internet o desde la misma Play Store. 

   Incluso, este tipo de actividades de alerta del sistema que se mantienen siempre sobre otras puede terminar siendo utilizadas para la producción de ransomware.

La superposición de actividades ha sido y es una de las técnicas más utilizadas por los ciberdelincuentes para el robo de credenciales en Android. En este esquema, el malware monitorea constantemente el nombre del paquete de la actividad que actualmente está siendo desplegada al usuario, hasta que éste coincida con el nombre del paquete de la aplicación objetivo. Entonces, despliega un diálogo propio con la estética de la aplicación legítima, peticionando las credenciales al usuario.

Al desencadenar el comportamiento malicioso sólo cuando el usuario ha voluntariamente iniciado la app genuina, el atacante logra reducir las sospechas, consiguiendo que el usuario brinde voluntariamente sus credenciales crediticias.

Malware Android camuflado de actualización del sistema

Aunque la aplicación «System Update» nunca se ha distribuido a través de la tienda oficial de Google Play, la investigación destaca una vez más cómo las tiendas de aplicaciones de terceros pueden albergar malware peligroso. La identidad de los autores de este malware y el objetivo o motivo final de la campaña aún no están claros.

El malware se disfraza de una notificación de actualización de sistema, y cuando pulses sobre ella se intentará instalar en tu móvil. Si cometes el error de picar en el cebo e instalarla, tomará el control de tu móvil y podrá acceder a una gran cantidad de datos y de cosas que haces con él.

Se te va a mostrar en las notificaciones un mensaje que te dice System Update (actualización de sistema, y te dice que se están buscando actualizaciones. Si pulsas sobre la notificación, se te llevará a una tienda de apps de terceros para que te descargues su archivo APK para instalar la app, prometiéndote que te ayudará a tener el móvil siempre actualizado.

Esta es la lista de todo lo que podrá hacer este malware una vez lo hayas instalado infectando tu dispositivo Android:

• Puede hacer grabaciones de audio.
• Puede grabar tus conversaciones telefónicas.
• Puede usar tu cámara frontal o trasera para sacar fotos periódicamente.
• Puede leer y robar tus mensajes de mensajería instantáneo.
• Puede robar tus mensajes SMS.
• Si tienes root, puede robar archivos de la base de datos de tus apps de mensajería instantánea.
• Puede robar las fotos y los vídeos que tienes en el móvil.
• Puede leer los marcadores de tu navegador por defecto y su historial de búsquedas. También los de Chrome, Firefox, o el navegador de Samsung.
• Puede buscar dentro de tu móvil archivos con extensiones específicas, como pdf, doc, docx, xls o xlsx, para poder acceder a ellos y su contenido.
• Puede inspeccionar lo que tienes en el portapapeles de tu móvil.
• Puede leer el contenido de tus notificaciones.
• Puede ver la lista de tus apps instaladas.
• Puede monitorizar tu ubicación GPS.
• Puede leer y robar tus contactos telefónicos.
• Puede leer y robar tu lista de llamadas.
• Puede extraer información sobre tu móvil, como su nombre, tus apps, o tus estadísticas de almacenamiento.
• Puede ocultar su presencia en el dispositivo, escondiendo su icono de menús y del cajón de aplicaciones.

Fuentes:

https://unaaldia.hispasec.com/2021/03/malware-android-disfrazado-de-actualizacion-del-sistema.html

https://blog.segu-info.com.ar/2021/03/tapjacking-y-otros-enganos-en-android.html

WeLiveSecurity | +Ch0pin I | +Ch0pin II