Se ha detectado una nueva variante del malware bancario para Android llamada TrickMo.C, que se disfraza de aplicaciones de streaming o TikTok para robar credenciales bancarias y de criptomonedas en Europa. Esta versión destaca por usar la red descentralizada TON para ocultar sus comunicaciones, dificultando su detección y bloqueo. El malware es modular y capaz de realizar capturas de pantalla, interceptar SMS y ejecutar comandos remotos avanzados.

Una nueva variante del malware bancario para Android TrickMo, distribuida en campañas dirigidas a usuarios de toda Europa, introduce nuevos comandos y utiliza The Open Network (TON) para comunicaciones sigilosas de mando y control.

El troyano bancario TrickMo fue detectado por primera vez en septiembre de 2019 y ha permanecido en desarrollo activo, recibiendo actualizaciones constantes desde entonces.

En octubre de 2024, Zimperium analizó 40 variantes del malware entregadas a través de 16 droppers, comunicándose con 22 infraestructuras de mando y control (C2) distintas, y dirigiéndose a datos sensibles de usuarios de todo el mundo.

La variante más reciente fue descubierta por ThreatFabric, que la identifica como 'Trickmo.C'. Los investigadores han estado observando esta versión desde enero.

En un informe hoy, ThreatFabric afirma que el malware está disfrazado de TikTok o aplicaciones de streaming y se dirige a carteras bancarias y de criptomonedas de usuarios en Francia, Italia y Austria.

La característica clave de la variante actual es la comunicación basada en TON con el operador, que utiliza direcciones .ADNL enrutadas a través de un proxy local de TON integrado que se ejecuta en el dispositivo infectado.

TON es una red peer-to-peer descentralizada desarrollada originalmente en torno al ecosistema de Telegram que permite a los dispositivos comunicarse con la web a través de una red superpuesta cifrada en lugar de servidores de internet expuestos públicamente.

TON utiliza un identificador de 256 bits en lugar de un dominio normal, lo que oculta la dirección IP y el puerto de comunicación, haciendo que la infraestructura real del servidor sea más difícil de identificar, bloquear o eliminar.

“Las eliminaciones de dominios tradicionales son en gran medida ineficaces porque los puntos finales del operador no dependen de la jerarquía de DNS público y, en su lugar, existen como identidades TON .adnl resueltas dentro de la propia red superpuesta”, explica ThreatFabric en su blog.

“La detección de patrones de tráfico en el borde de la red solo ve tráfico TON, que está cifrado y es indistinguible del flujo de salida de cualquier otra aplicación habilitada para TON”.

Arquitectura operativa de trickmo

Fuente: ThreatFabric

Capacidades de trickmo

TrickMo es un malware modular con un diseño de dos etapas: un APK anfitrión que sirve como cargador y capa de persistencia, y un módulo APK descargado en tiempo de ejecución que implementa la funcionalidad ofensiva.

El malware robando credenciales bancarias a través de superposiciones de phishing, realiza registro de teclas (keylogging), grabación de pantalla y transmisión de pantalla en vivo, interceptación de SMS, supresión de notificaciones OTP, modificación del portapapeles, filtrado de notificaciones y captura de capturas de pantalla.

ThreatFabric informa que la nueva variante añade los siguientes comandos y capacidades:

• * curl
• * dnsLookup
• * ping
• * telnet
• * traceroute
• * tunelización SSH
• * reenvío de puertos remotos
• * reenvío de puertos locales
• * soporte de proxy SOCKS5 autenticado

Los investigadores también han detectado el marco de hooking de tiempo de ejecución Pine, utilizado anteriormente para interceptar operaciones de red y Firebase, pero actualmente está inactivo ya que no hay hooks instalados.

TrickMo también declara permisos extensos de NFC e informa de capacidades NFC en la telemetría, pero los investigadores no encontraron ninguna funcionalidad NFC activa.

Se aconseja a los usuarios de Android que solo descarguen software de Google Play, limiten el número de aplicaciones instaladas en sus teléfonos, utilicen aplicaciones solo de editores acreditados y se aseguren de que Play Protect esté activo en todo momento.

Fuente:
BleepingComputer