Cuidado con CapraRAT y sus estafas románticas

¿Estafas románticas?, cuidado con CapraRAT. ESET identificó una campaña de espionaje que se distribuye por aplicaciones de mensajería. El equipo de investigación de ESET, identificó una campaña de ciberespionaje que, a través de aplicaciones de mensajería para Android, divulgan información confidencial.

Buenos Aires, Argentina, 14 de marzo del 2023.— El equipo de investigación de ESET, compañía líder en detección proactiva de amenazas, analizó una nueva amenaza de ciberespionaje que ha estado insertando backdoors (troyano que permite el acceso al sistema infectado y su control remoto) a través de aplicaciones de mensajería para Android troyanizadas, haciendo pública información confidencial. Durante la investigación se identificó información, incluida la geolocalización, de más de 150 víctimas ocurridas en los territorios de la India, Pakistán, Rusia, Omán y Egipto.

La campaña activa fue atribuida por los expertos de ESET, al grupo de ciberdelincuentes conocido como Transparent Tribe, y es dirigida principalmente a usuarios del sistema operativo Android de la India y el Pakistán, muy probablemente con una orientación militar o política. Las víctimas fueron atacadas a través de una estafa romántica, donde inicialmente fueron contactadas en otra plataforma y luego convencidas de usar aplicaciones supuestamente “más seguras” que terminaron instalando en sus dispositivos.

Esta amenaza sofisticada ha estado activa aproximadamente desde julio de 2022, y ha distribuido un código malicioso identificado por ESET como el backdoor CapraRAT utilizando al menos dos sitios web similares que se presentan como versiones limpias de esas aplicaciones de mensajería segura.

Además de la funcionalidad de chat inherente de la aplicación legítima original, las versiones troyanizadas incluyen el backdoor CapraRAT. Este backdoor tiene la capacidad de espionaje realizando capturas de pantalla además de tomar fotos, grabar llamadas telefónicas y el audio circundante, y exfiltrar cualquier otra información confidencial del dispositivo. El backdoor también puede recibir comandos de los atacantes para realizar distintas acciones en el dispositivo comprometido, como descargar archivos, realizar llamadas y enviar mensajes SMS. La campaña tiene un objetivo limitado y nada sugiere que estas aplicaciones alguna vez estuvieron disponibles en Google Play.

Basado en el nombre de Android Package Kit (APK), la primera aplicación maliciosa se hace pasar como la app de mensajería MeetsApp y afirma proporcionar comunicaciones de chat seguras. ESET encontró un sitio web desde el cual se podría haber descargado esta muestra (meetsapp[.]org.

El análisis del sitio web de distribución de MeetsApp mostró que algunos de sus recursos estaban alojados en otro servidor con un nombre de dominio similar, utilizando un nombre de servicio similar. Ese sitio también proporcionó la aplicación de mensajería para Android, MeetUp, para descargar con el mismo nombre de paquete que para MeetsApp y con el mismo logotipo del sitio web.

Antes de usar la aplicación, las víctimas deben crear cuentas que estén vinculadas a sus números de teléfono y requieran la verificación vía SMS. Una vez que se crea esta cuenta, la aplicación solicita permisos adicionales que permiten que se despliegue la funcionalidad completa del backdoor, como acceder a contactos, registros de llamadas, mensajes SMS, almacenamiento externo y grabación de audio.

De acuerdo a la investigación de ESET, las potenciales víctimas fueron engañadas para instalar la aplicación a través de una operación de estafa romántica, donde lo más probable es que primero fueron contactados en una plataforma diferente y luego persuadidos para usar la aplicación “más segura” MeetsApp o MeetUp.

Los puntos claves de la investigación de ESET, son:

La campaña de Transparent Tribe se dirige principalmente a ciudadanos de India y Pakistán, posiblemente aquellos con antecedentes militares o políticos.
Distribuyó el backdoor para Android “CapraRAT” a través de aplicaciones troyanizadas de mensajería y llamadas seguras bajo el nombre de MeetsApp y MeetUp. El backdoor puede exfiltrar cualquier información confidencial de los dispositivos de sus víctimas.
Estas aplicaciones troyanizadas estaban disponibles para su descarga desde sitios web que se hacían pasar por centros de distribución oficiales. Desde ESET creen que se utilizó una estafa romántica para atraer a los objetivos a estos sitios web.
La seguridad operativa deficiente en torno a estas aplicaciones expuso la información personal identificable del usuario, lo que permitió geo localizar a 150 víctimas.
El backdoor CapraRAT fue alojado en un dominio que se resolvió en una dirección IP utilizada anteriormente por Transparent Tribe.

La campaña apuntando a dispositivos móviles operada por el grupo Transparent Tribe sigue activa y utiliza dos aplicaciones de mensajería troyanizadas como cubierta para distribuir su backdoor para Android CapraRAT. Ambas aplicaciones se distribuyen a través de dos sitios web similares que, según sus descripciones, brindan servicios seguros de mensajería y llamadas. Los operadores de estas aplicaciones tenían una seguridad operativa deficiente, lo que provocó que la información personal identificable de la víctima quedara expuesta a nuestros investigadores a través de Internet. Gracias a esto fue posible obtener alguna información sobre las víctimas.”, comenta Camilo Gutiérrez Amaya, Jefe del Laboratorio de Investigación de ESET Latinoamérica.

Para conocer más sobre seguridad informática visite el portal de noticias de ESET: https://www.welivesecurity.com/la-es/2023/03/07/grupo-transparent-tribe-utiliza-apps-mensajeria-modificadas-espionaje/

Por otro lado, ESET invita a conocer Conexión Segura, su pódcast para saber qué está ocurriendo en el mundo de la seguridad informática. Para escucharlo ingrese a:

https://open.spotify.com/show/0Q32tisjNy7eCYwUNHphcw

Visítanos en: @ESETLA

Acerca de ESET

Desde 1987, ESET® desarrolla soluciones de seguridad que ayudan a más de 100 millones de usuarios a disfrutar la tecnología de forma segura. Su portafolio de soluciones ofrece a las empresas y consumidores de todo el mundo un equilibrio perfecto entre rendimiento y protección proactiva. La empresa cuenta con una red global de ventas que abarca 200 países y tiene oficinas en Bratislava, San Diego, Singapur, Buenos Aires, México DF y San Pablo. Para obtener más información, visite www.eset-la.com o síganos en LinkedIn, Facebook y Twitter.