Se ha analizado un nuevo troyano de acceso remoto (RAT) para Android llamado YuanKong, el cual permite vigilar y controlar el teléfono de la víctima. Este malware es capaz de capturar contraseñas y PINs de pago para enviarlos a sus operadores. A diferencia de otros virus, no depende de los mensajes de texto, sino que utiliza las funciones de accesibilidad y controles de pantalla de Android para observar la actividad del usuario dentro de diversas aplicaciones, incluyendo las bancarias.

Un troyano de acceso remoto para Android recientemente analizado, llamado YuanKong, puede vigilar y controlar el teléfono de una víctima, capturar contraseñas y PIN de pago, y enviar la información robada a sus operadores.

En lugar de depender del acceso a los mensajes de texto o a las listas de contactos, utiliza las funciones de Accesibilidad de Android y los controles de pantalla para observar lo que haces dentro de las aplicaciones, incluidas las aplicaciones bancarias y de pago.

Los investigadores advierten que este enfoque puede exponer información sensible incluso cuando estás interactuando con una aplicación legítima. El malware también está diseñado para mantenerse activo y dar control a los operadores a distancia.

Sus capacidades incluyen la captura de pantalla, toques y deslizamientos remotos, acceso al portapapeles, lectura de notificaciones, transferencias de archivos y recopilación de la ubicación.

La muestra examinada no solicitó permisos para SMS, contactos, registros de llamadas, cámara o micrófono, por lo que sus riesgos provienen principalmente de lo que puede leer y hacer a través de la pantalla y el acceso a la Accesibilidad.

Investigadores de Star Labs identificaron y analizaron el malware examinando sus archivos de aplicación y código de Android. Su investigación cubrió 110 "droppers" y 57 cargas útiles secundarias distintas, todas firmadas con el mismo certificado de YuanKong. Las muestras contenían diferentes detalles de cuentas de operadores, lo que indica un servicio compartido que puede ser utilizado por múltiples operadores.

El nuevo RAT de Android YuanKong secuestra teléfonos

En la muestra examinada por Star Labs, la primera aplicación actúa como un dropper: contiene una aplicación secundaria oculta y la instala después de desempacar la carga útil.

El dropper almacena su clave de descifrado y el valor de inicialización en un archivo de configuración junto con los datos cifrados. Los investigadores descubrieron que el archivo utiliza un proceso XOR simple en lugar de un método de cifrado fuerte, lo que hace que la aplicación secundaria sea recuperable desde el dropper sin necesidad de contactar con el servidor del operador.

La aplicación secundaria extraída se identifica como YuanKong y se conecta a servidores de comando y control a través de Socket.IO y WebSocket.

Sus mensajes utilizan JSON tipado, mientras que la confidencialidad del transporte depende de TLS; el análisis no encontró ninguna capa de cifrado adicional para los mensajes dentro de esa conexión. El servidor puede enviar comandos y recibir datos recopilados, incluidas capturas de pantalla y archivos.

El uso de la propia función de depuración de Android añade otro nivel de preocupación. YuanKong puede usar la Accesibilidad para habilitar la Depuración Inalámbrica, leer los detalles de emparejamiento que se muestran en el teléfono y emparejarse con el servicio local Android Debug Bridge (ADB) del dispositivo.

Esto le otorga una sesión a nivel de shell, no acceso root, que puede usar para conceder permisos y ejecutar un script de persistencia. Malos usos similares de la Depuración Inalámbrica se han reportado en el abuso de ADB de RedHook y otros casos de malware de Android.

Cómo captura PINs y contraseñas

YuanKong puede leer texto de los eventos de Accesibilidad, incluyendo cambios en los campos de entrada, e inspeccionar el árbol de accesibilidad de la pantalla en busca de campos de contraseña.

También admite una superposición de teclado numérico falso: los toques ingresan los dígitos reales en el búfer de captura del malware mientras que la pantalla puede mostrar puntos enmascarados.

Para algunos teclados legítimos, el malware puede mapear las posiciones de los botones de los dígitos y usar coordenadas táctiles para averiguar qué números ingresaste.

El robo de PIN de pago también puede utilizar una superposición. Un operador puede proporcionar una página web y hacer que se muestre sobre una aplicación de pago seleccionada. Si ingresas un PIN en esa pantalla de imitación, YuanKong registra el valor y puede enviarlo al servidor de control.

Estos métodos son similares en propósito general —aunque no necesariamente en diseño técnico— a otras amenazas de Android que utilizan pantallas bancarias falsas o acceso a la Accesibilidad, como las superposiciones bancarias de RemControl.

Los operadores pueden hacer clic remotamente, deslizar, abrir aplicaciones y bloquear la pantalla. YuanKong también puede ocultar su icono, utilizar servicios que se reinician entre sí, resistir la eliminación y poner en cola los registros robados para subirlos más tarde si la conexión se interrumpe.

Su shell local de ADB puede instalar un demonio que ayuda a mantener la aplicación en funcionamiento. El análisis describe esto como una escalada al usuario shell de Android, no como un exploit de root.

Los investigadores rastrearon 42 cuentas de operadores en las muestras que revisaron. Los identificadores de cuenta y los detalles de inscripción fueron compilados en la aplicación y enviados en informes de actividad del dispositivo, lo que permitió a los analistas vincular compilaciones con cuentas particulares sin acceder al panel de control.

El análisis de la muestra no establece cómo fueron atraídas las víctimas inicialmente para instalar las aplicaciones ni cuántos teléfonos se vieron afectados, por lo que esos detalles siguen siendo desconocidos.

Para los defensores, el certificado de firma compartido de YuanKong y el conjunto de hosts de comando y control son pistas familiares más fuertes que los nombres de paquete y la marca de la aplicación que cambian.

Los equipos de seguridad pueden buscar el certificado, los dominios listados y la dirección IP, actividad sospechosa de Depuración Inalámbrica, servicios de Accesibilidad desconocidos y comportamiento de control remoto inesperado.

El certificado es una señal de detección útil, pero los equipos deben confirmar los hallazgos en su propio entorno antes de tomar medidas.

Como usuario de teléfono, debes evitar instalar APKs desde enlaces o sitios desconocidos, revisar qué aplicaciones tienen acceso a la Accesibilidad y dejar la Depuración Inalámbrica desactivada cuando no sea necesaria.

Si sospechas que tu dispositivo puede estar infectado, contacta al banco utilizando un número oficial y cambia tus contraseñas bancarias desde un dispositivo seguro independiente. Informes recientes sobre el control de Android de RatHat también muestran por qué las solicitudes inusuales de Accesibilidad y depuración merecen una atención cercana.

Fuentes:
https://cybersecuritynews.com/new-yuankong-android-rat/