Nueva amenaza de seguridad: un nuevo y sofisticado malware denominado Klopatra, dirigido a dispositivos Android y que ha puesto el foco en los usuarios españoles.

• Esta nueva amenaza cibernética, que afecta a dispositivos Android, usa como puerta de entrada aplicaciones IPTV usadas para ver fútbol pirata

Así lo advierte en un reciente informe Cleafy, que analiza este malware que combina características de troyano bancario y acceso remoto (RAT) y que está siendo utilizado en campañas activas que afectan principalmente a usuarios en España e Italia, con más de 3.000 dispositivos comprometidos hasta la fecha.

La principal preocupación de expertos en ciberseguridad es su evolución técnica, ya que utiliza métodos avanzados de evasión y protección para evitar la detección, así como su capacidad para llevar a cabo fraudes financieros de forma autónoma. 

Según Cleafy, este malware no solo roba credenciales bancarias, sino que también permite a los atacantes tomar control completo de los dispositivos infectados, realizando transacciones fraudulentas sin la intervención del usuario. 

¿Cómo llega Klopatra a los dispositivos?

Klopatra se propaga principalmente a través de aplicaciones falsas de IPTV, especialmente aquellas que prometen acceso gratuito a contenido deportivo de pago, como el fútbol. 

Este tipo de aplicaciones son populares entre los usuarios que buscan ver eventos deportivos sin pasar por caja, lo que crea un caldo de cultivo ideal para que los atacantes distribuyan malware. 

La mayoría de estas apps, disponibles en fuentes no oficiales fuera de la tienda de Google Play, incluyen un troyano oculto que se activa cuando el usuario instala la aplicación.

Para conseguirlo, los atacantes se aprovechan de la habilidad de los usuarios para instalar aplicaciones desde fuentes desconocidas, una práctica habitual en aquellos que buscan servicios como IPTV pirata para ver fútbol y otros deportes de manera gratuita.

Esta cadena de infección comienza con una app aparentemente legítima, como Mobdro Pro IP TV + VPN, que enmascara el verdadero propósito del malware.

Una vez instalado, ¿qué hace Klopatra?

Tras la instalación, el malware solicita permisos para acceder a los Servicios de Accesibilidad de Android, una función legítima diseñada para ayudar a personas con discapacidades a interactuar con el dispositivo.

Sin embargo, en manos de los atacantes, este acceso se convierte en una poderosa herramienta de control remoto.

Los atacantes pueden entonces monitorizar la pantalla del dispositivo, capturar pulsaciones (actuando como un keylogger), y realizar transacciones fraudulentas desde aplicaciones bancarias sin que el usuario lo sepa.

El ataque se realiza generalmente en horas nocturnas, cuando el dispositivo está cargando y el usuario probablemente está durmiendo, lo que reduce las posibilidades de que la víctima detecte el robo en tiempo real.

Usando un mecanismo de superposición de pantalla y la capacidad de controlar el dispositivo remotamente, los atacantes completan transferencias bancarias y realizan otras acciones financieras sin la intervención directa de la víctima.

Tecnología avanzada: La protección Virbox y el uso de código nativo

Lo que hace que Klopatra sea aún más peligroso es su diseño sofisticado.

A diferencia de otros malwares móviles, los desarrolladores de Klopatra han integrado una herramienta de protección comercial conocida como Virbox, que hace que el código malicioso sea casi indetectable para las soluciones de seguridad tradicionales.

Además, el malware utiliza una combinación de bibliotecas nativas de Android, en lugar de las tradicionales basadas en Java, lo que aumenta aún más las barreras para su análisis.

Estas innovaciones tecnológicas reflejan un enfoque profesional en el desarrollo de malware, lo que implica que el grupo detrás de Klopatra está invirtiendo recursos significativos para asegurar la longevidad y eficacia de su campaña fraudulenta.

Esta protección comercial, típicamente vista en malware para sistemas de escritorio, marca un claro punto de inflexión en la evolución de las amenazas móviles.

¿Quién está detrás de Klopatra?

El análisis de las infraestructuras de comando y control (C2) utilizadas por los atacantes, junto con los rastros lingüísticos en el código, apunta a un grupo criminal de habla turca como los desarrolladores y operadores del malware.

Esta información se ha corroborado con las notas dejadas por los atacantes, que indican una operación muy organizada y profesional, manejada desde el desarrollo hasta la monetización de las víctimas.

Este grupo no parece estar operando bajo un modelo de Malware-as-a-Service (MaaS), lo que sugiere que Klopatra es un proyecto cerrado y privado, operado por un número limitado de personas con gran experiencia en ciberseguridad.

Campañas activas en Europa: España e Italia como principales objetivos

A medida que Cleafy monitoreó el comportamiento de Klopatra, identificó dos botnets principales que están actualmente en funcionamiento.

Estas botnets están orientadas principalmente a usuarios en España e Italia, con más de 3.000 dispositivos comprometidos en total y campañas dirigidas específicamente a aplicaciones bancarias populares en ambos países.

Los atacantes han concentrado sus esfuerzos en España, donde uno de los servidores de C2 controla una botnet de cerca de 1.000 dispositivos infectados. En Italia, otro servidor maneja aproximadamente 450 dispositivos infectados.

A pesar de que los ataques parecen estar más enfocados en usuarios españoles e italianos, la infraestructura utilizada podría ampliarse a otras regiones en el futuro.

Recomendaciones para protegerse

El ataque de Klopatra destaca la importancia de cuidar las fuentes de las aplicaciones que se descargan en los dispositivos. Aquí te dejamos algunas recomendaciones esenciales para proteger tu dispositivo y tu información personal:

• Evita descargar aplicaciones de fuentes no oficiales, especialmente aquellas que prometen contenido gratuito de IPTV, como fútbol o películas.
• No habilites la opción "Instalar desde orígenes desconocidos" a menos que sea absolutamente necesario y confiable.
• Revisa los permisos solicitados por las aplicaciones antes de otorgarlos. Especialmente ten cuidado si la app solicita acceso a los Servicios de Accesibilidad, ya que esto podría ser un signo de actividad maliciosa.
• Mantén tu sistema operativo y tus aplicaciones siempre actualizadas, ya que las actualizaciones a menudo corrigen vulnerabilidades de seguridad.
• Utiliza una solución de seguridad móvil que incluya funciones de protección contra malware y supervisión de comportamientos inusuales.
• Activa las alertas de tus entidades bancarias para detectar transacciones sospechosas en tiempo real.

Un nuevo nivel de sofisticación en las amenazas móviles

Klopatra supone una evolución significativa en la forma en que los atacantes están aprovechando las vulnerabilidades en los dispositivos móviles, en particular los utilizados para banca móvil y aplicaciones de entretenimiento pirata como IPTV.

Este ataque pone de manifiesto la creciente profesionalización del cibercrimen, y destaca la necesidad urgente de contar con defensas más robustas para enfrentar amenazas móviles de nueva generación.

Los usuarios deben estar especialmente atentos a las aplicaciones que instalan, en particular aquellas provenientes de fuentes no oficiales, ya que pueden estar expuestos a graves riesgos de seguridad si descargan malware disfrazado de servicios atractivos como IPTV.

Para las instituciones financieras, esto subraya la importancia de implementar sistemas de detección basados en comportamientos y no solo en la identificación de software malicioso. 

Fuentes:

https://www.cleafy.com/cleafy-labs/klopatra-exposing-a-new-android-banking-trojan-operation-with-roots-in-turkey 

https://www.diariodesevilla.es/tecnologia/klopatra-nuevo-troyano-bancario-afectado-espana_0_2004962270.html