Desde el mes de junio se ha detectado una oleada de infecciones por SpyNote dirigidas a las aplicaciones bancarias. Una nueva versión del spyware distribuida mediante campañas de phishing o smishing (por SMS) está ahora diseñada específicamente para cometer fraudes bancarios.
SpyNote es una familia de malware peligroso para Android, vendido por primera vez en la dark web en 2021. Tras la filtración de su código fuente en 2022 se pusieron en circulación numerosas variantes. La última de ellas apunta específicamente a entidades financieras como HSBC, Deutsche Bank, Kotak Bank, BurlaNubank y Bank of America.
Cómo funciona SpyNote
SpyNote es un spyware para Android que abusa de los servicios de accesibilidad, desarrollados originalmente para personas con discapacidad. Detecta lo que ocurre en la pantalla y ejecuta acciones maliciosas en consecuencia. Una vez instalada la aplicación y obtenido el permiso de accesibilidad, el programa espía lo utiliza para aceptar automáticamente otros permisos. De este modo, los ciberdelincuentes que hay detrás del spyware acceden a todo lo que se encuentra en el dispositivo: los SMS de los usuarios, el registro de llamadas, los contactos, la localización GPS, los archivos, las fotos, la cámara, el micrófono…
Recientemente hemos observado que una nueva versión de SpyNote presenta capacidades avanzadas similares a las de un malware bancario. Está diseñada para ejecutar un ataque en dos etapas, la segunda de las cuales consiste en robar los datos bancarios. Para ello accede a la lista de aplicaciones instaladas e invita al usuario a instalar una versión falsa de la aplicación bancaria que utiliza. Después emplea técnicas de registro de pulsaciones y de captura del 2FA para robar las credenciales de los usuarios.
Actualmente, casi todos los bancos utilizan una autenticación reforzada del cliente para confirmar una transacción financiera. Pero como los piratas que utilizan SpyNote tienen acceso total a los dispositivos infectados, son capaces de eludir la autenticación de doble factor: cuando el código de seguridad lo genera una aplicación de autenticación o se envía por SMS o por correo electrónico, lo interceptan.
SpyNote utiliza distintas técnicas de evasión de la defensa, como la ofuscación, el junk code y los controles antiemulador, para impedir su ejecución y su análisis en un emulador o en un sandbox por parte de los analistas de ciberseguridad. Cuando el ataque tiene éxito, la información robada se monetiza en la dark web y/o se utiliza para cometer fraudes bancarios.
Bancos y operadores de servicios esenciales directamente en el punto de mira
Las entidades financieras han sido el principal objetivo de SpyNote en los últimos meses, con bancos atacados en el Reino Unido, Alemania, la India y América. Además, los piratas también se centran en los operadores de servicios esenciales. Recientemente, usuarios japoneses fueron objeto de un ataque de SpyNote que se hacía pasar por proveedores de electricidad o de agua. El uso de organizaciones vitales crea una sensación de urgencia en la víctima y la incita a actuar de inmediato.
Además de los piratas, que evidentemente se exponen a acciones judiciales, en el futuro esto también podría afectar a las empresas cuya aplicación es falsificada. La directiva europea NIS2, que entrará en vigor en 2024, establece que las aplicaciones y los servicios móviles deben estar protegidos. Aconseja detectar las vulnerabilidades de los sistemas y realizar pruebas de intrusión y auditorías de seguridad. Una aplicación que pueda clonarse fácilmente y utilizarse por tanto en ciberataques podría acarrear una sanción para la empresa.
Cómo proteger las aplicaciones móviles
Ahora más que nunca, la publicación de aplicaciones móviles nunca debe hacerse sin una validación previa de su seguridad, especialmente en los sectores en los que los datos manipulados son sensibles.
Para ayudar a las empresas, Pradeo ofrece una caja de herramientas que permite dominar la confidencialidad y la seguridad de las aplicaciones móviles a lo largo de todo su ciclo de vida, del desarrollo a las operaciones.
Hacer un diagnóstico de la seguridad actual
La herramienta automatizada de auditoría de cumplimiento de las aplicaciones móviles de Pradeo permite:
- Obtener en unos clics un análisis de cumplimiento que integra las leyes de protección de datos y criterios personalizables
- Ver de un vistazo si la aplicación manipula datos personales
- Detectar con precisión las manipulaciones de datos realizadas por una aplicación y sus librerías, especificando si se trata de un uso local, de un envío fuera del dispositivo, de una modificación o de una supresión. Esta información se completa, en su caso, con el lugar de almacenamiento o de envío de los datos.
- Identificar las librerías que presentan comportamientos ocultos y vulnerabilidades
- Señalar los riesgos que deben corregirse antes de publicar una aplicación
- Acreditar un trabajo de protección de las aplicaciones mostrando un resultado de auditoría conforme
Corregir los fallos y protegerse frente a los ataques externos
Las herramientas AppSec complementarias de Pradeo permiten a los responsables de la seguridad de las aplicaciones:
- Identificar y corregir de forma continua las vulnerabilidades de las aplicaciones desde su diseño
- Reforzar el código de las aplicaciones para prevenir el robo o la usurpación (clonación)
- Supervisar las aplicaciones móviles durante su uso para detectar y responder a las amenazas externas
- Detectar las aplicaciones falsificadas que intentan conectarse al servidor de las organizaciones haciéndose pasar por legítimas
