RedWing es un nuevo malware para Android que se alquila en Telegram como un servicio de fraude bancario para criminales sin conocimientos técnicos. Utiliza páginas de phishing y permisos de accesibilidad para robar contraseñas, interceptar códigos SMS y controlar el teléfono en tiempo real. Esta herramienta, vinculada a actores rusos, evade la seguridad convencional y recomienda instalar aplicaciones solo desde tiendas oficiales.

Una nueva operación de malware para Android llamada RedWing se está alquilando en Telegram como un servicio de fraude bancario ya preparado. Permite que incluso criminales con poca habilidad tomen el control del teléfono de una víctima, roben sus credenciales bancarias y capturen los códigos de un solo uso que protegen sus cuentas.

zLabs de Zimperium [https://zimperium.com/blog/redwing-a-mobile-malware-as-a-service-operation], que descubrió la operación, afirma que parece ser una nueva variante de Oblivion [https://www.certosoftware.com/insights/oblivion-the-new-300-android-rat-that-beats-every-major-phone-manufacturers-security/], una herramienta de malware en alquiler de 300 dólares al mes documentada a principios de este año.

RedWing se vende como un producto completo, con niveles de suscripción, descuentos por referidos, guías y vídeos instructivos, por lo que el comprador no necesita habilidades para escribir malware. Un bot de Telegram crea una aplicación personalizada para cada comprador bajo demanda.

Los investigadores afirman que un número considerable de los droppers y payloads resultantes evaden actualmente las herramientas de seguridad convencionales.

La infección comienza con un enlace de phishing que abre una página de tienda de aplicaciones falsa. El constructor de droppers del kit puede imitar Google Play, la Galaxy Store y AppGallery, o crear páginas totalmente personalizadas, con valoraciones, reseñas y recuentos de descargas falsos. Luego, la página persuade al usuario para que instale la aplicación fuera de la tienda oficial y apruebe sus permisos.

La aplicación solicita los permisos una pantalla a la vez. Una página web de aspecto inofensivo permanece en segundo plano mientras aparecen tarjetas emergentes que solicitan permisos presentados como rutinarios: desactivar los límites de la batería, establecer la aplicación como el gestor predeterminado de mensajes de texto y activar las notificaciones.

También pide activar el servicio de Accesibilidad de Android, que el malware utiliza para leer la pantalla y controlar el teléfono.



Con esos permisos, RedWing tiene un control amplio del teléfono. Sus capacidades incluyen:

* Pantallas de inicio de sesión falsas, llamadas overlays, que aparecen sobre aplicaciones reales de banca y criptomonedas para robar contraseñas.
* Lectura de mensajes entrantes para obtener códigos de un solo uso y uso de la Accesibilidad para extraer códigos, números de tarjeta y PINs de la pantalla mientras aparecen.
* Desvío silencioso de las llamadas entrantes de la víctima hacia el atacante, utilizando un código de operador oculto (*21*) para activar el desvío de llamadas, lo que anula la verificación basada en teléfono y las llamadas de comprobación de fraude bancario.
* Transmisión de pantalla en vivo y un keylogger, para que los operadores puedan observar y controlar el teléfono en tiempo real.
* Activación de la cámara y el micrófono, lectura de archivos, robo de contactos y registros de llamadas, y rastreo de la ubicación.
* Agrupación de teléfonos infectados para inundar un sitio web objetivo con tráfico, un ataque de denegación de servicio.

Los compradores eligen sus propios objetivos y el malware divide su focalización en dos. Las aplicaciones que vigila a través de la Accesibilidad están integradas en cada copia, lo que indica que se crea una aplicación nueva a medida una vez que el comprador elige los objetivos. Los objetivos de los overlays, por el contrario, pueden cambiarse posteriormente desde el panel de control sin necesidad de lanzar una nueva aplicación.



Zimperium contabilizó 82 instituciones objetivo en varios sectores, con un fuerte enfoque en firmas financieras rusas, aunque esa lista puede cambiar en cualquier momento. La evidencia apunta al mercado ruso: una muestra utilizó una página falsa para RuStore de Rusia. Los expertos dicen que la operación parece vinculada a actores de amenazas rusos, pero no llegan a confirmarlo.

RedWing encaja en un movimiento más amplio del crimen en Android hacia el fraude en el dispositivo, donde los atacantes operan dentro de la propia sesión bancaria de la víctima en lugar de robar una contraseña para usarla en otro lugar.

Los investigadores señalaron el año pasado un kit de alquiler casi idéntico para el mercado ruso, Fantasy Hub. Las mismas técnicas aparecen en Albiriox, dirigido a más de 400 aplicaciones financieras, y Klopatra, que utilizaba control remoto oculto y overlays falsos para vaciar cuentas mientras las víctimas dormían.

RedWing no necesita ningún exploit de Android. Funciona solo cuando un usuario instala la aplicación fuera de una tienda oficial y aprueba las solicitudes, por lo que la primera línea de defensa es lo que ocurre al momento de la instalación. Para ti:

* Instala aplicaciones solo desde tiendas oficiales y trata cualquier "actualización" que llegue por enlace o mensaje de texto como sospechosa.
* No actives la opción de "instalar desde fuentes desconocas" y no concedas acceso a Accesibilidad, al gestor de mensajes de texto predeterminado o a la excepción de batería a una aplicación sin una razón clara para necesitarlo.
* Estate atento a cualquier aplicación que oculte su icono después de instalarse, un truco común para pasar desapercibida.

En dispositivos gestionados, las mismas opciones pueden aplicarse de forma centralizada: bloquear la instalación de aplicaciones externas (sideloading) y marcar las aplicaciones que solicitan Accesibilidad o el rol de SMS predeterminado.

Los investigadores también han publicado indicadores de compromiso para los equipos que quieran rastrearlo. Debido a que el kit puede cambiar su apariencia y sus objetivos de overlay desde un panel, el mismo código puede volver a aparecer bajo nuevos nombres, por lo que los nombres de las aplicaciones no son una forma eficaz de rastrearlo. El comportamiento es la señal, no el nombre.

Fuente:
THN