Una sofisticada campaña de malware para Android dirigida a usuarios indios ha surgido, haciéndose pasar por notificaciones legítimas del Regional Transport Office (RTO). Las aplicaciones maliciosas se distribuyen fuera de la Google Play Store, principalmente a través de WhatsApp y plataformas de mensajería similares, explotando la confianza de los usuarios en los servicios gubernamentales. Los actores de amenazas envían alertas falsas de infracciones de tráfico a las víctimas.

Ha surgido una sofisticada campaña de malware para Android dirigida a usuarios indios, que se hace pasar por notificaciones legítimas de challan del Regional Transport Office (RTO).

Las aplicaciones maliciosas se distribuyen fuera de Google Play Store, principalmente a través de WhatsApp y plataformas de mensajería similares, explotando la confianza de los usuarios en los servicios gubernamentales.

Los actores de amenazas envían alertas falsas de infracciones de tráfico a las víctimas, instruyéndolas para que instalen una aplicación móvil de “E-Challan” o “RTO Challan”, que contiene malware diseñado para robar información financiera y personal.

Esta campaña representa una peligrosa evolución en las amenazas móviles, incorporando una arquitectura modular de tres etapas que mejora su capacidad para evadir la detección y mantener la persistencia en los dispositivos infectados.

A diferencia de variantes anteriores que usaban APKs de una sola etapa con lógica codificada, esta operación actual emplea configuración remota dinámica y extensas técnicas anti-análisis.

El malware crea un túnel VPN personalizado para enmascarar su actividad de red, permitiendo la exfiltración encubierta de datos mientras evita que las herramientas de seguridad detecten la comunicación con el servidor de comando y control.

Investigadores de Seqrite identificaron las sofisticadas tácticas de ingeniería social empleadas por los atacantes durante su análisis de seguridad.

Las aplicaciones maliciosas presentan interfaces de usuario fraudulentas que imitan portales oficiales del gobierno, completas con marcas y logotipos del RTO, para convencer a los usuarios de su legitimidad.

Una vez instalado, el malware solicita a los usuarios que otorguen permisos de alto riesgo, incluyendo acceso a SMS, registros de llamadas, escucha de notificaciones y acceso al almacenamiento, lo que permite una vigilancia exhaustiva del dispositivo de la víctima.

El malware establece un control persistente al solicitar a los usuarios que desactiven la optimización de batería, permitiéndole ejecutarse continuamente en segundo plano sin restricciones del sistema.

Esto garantiza que la aplicación maliciosa pueda operar sin interrupciones y mantener una conexión activa con su infraestructura de comando y control.

El ataque resulta en un fraude financiero a gran escala, robo de identidad y compromiso total del dispositivo, ya que el malware recopila notificaciones bancarias, mensajes OTP y metadatos del dispositivo.

Mecanismo de infección y abuso de permisos

El proceso de infección comienza cuando las víctimas reciben mensajes SMS o de WhatsApp que contienen URLs acortadas que imitan dominios legítimos de e-Challan.

Estos mensajes crean urgencia al amenazar con la suspensión de la licencia, citaciones judiciales o procesos legales por multas de tráfico no pagadas.

Cuando los usuarios hacen clic en el enlace e instalan el archivo APK, el malware inicia su secuencia de despliegue de múltiples etapas.

Tras la instalación, la aplicación de tercera etapa presenta una interfaz falsa del gobierno que solicita a los usuarios verificar su identidad o liquidar un challan pendiente.

Para continuar, los usuarios deben otorgar múltiples permisos peligrosos que conceden al malware acceso a funciones sensibles del dispositivo.

Una vez aprobados estos permisos, el malware comienza a recopilar información de identidad personal, notificaciones bancarias, mensajes OTP y metadatos del dispositivo.

El malware implementa una técnica de engaño con servicio en primer plano, creando una notificación falsa que se ejecuta continuamente mientras las actividades maliciosas ocurren en segundo plano.

Debes verificar las multas de tráfico solo a través de sitios web oficiales del gobierno, en lugar de hacer clic en enlaces de mensajes no solicitados.

Evita descargar aplicaciones desde fuentes fuera de Google Play Store y nunca otorgues permisos innecesarios a aplicaciones que soliciten acceso a SMS o notificaciones.

Las organizaciones deben implementar soluciones de defensa contra amenazas móviles y realizar capacitaciones de concientización en seguridad para ayudar a los empleados a reconocer tácticas de ingeniería social.