Un nuevo troyano bancario para Android, Herodotus, circula desde hace unas semanas. Ofrecido como Malware-as-a-Service (MaaS), se disfraza de aplicación legítima para inducir al usuario a instalar un APK. Tras la instalación, reclama permisos sensibles y puede tomar el control del teléfono para realizar operaciones bancarias en lugar del usuario.
Un ataque móvil moderno, demasiado a menudo invisible para la mayoría de los antivirus clásicos.
Herodotus en breve
El troyano bancario se propaga mediante un enlace de phishing por SMS que redirige a una página que invita a descargar una aplicación. El usuario instala entonces un APK fuera de la Play Store. Una vez instalado y autorizado, Herodotus reclama permisos críticos (en particular Accessibility), instala pantallas superpuestas sobre las aplicaciones reales para engañar al usuario y puede capturar la pantalla y las pulsaciones de teclado. Su objetivo es la toma de sesión, es decir, ejecutar operaciones mientras la víctima está conectada.
Para eludir los sistemas antifraude, «humaniza» sus acciones con retardos aleatorios, micromovimientos y un ritmo de escritura realista, lo que hace la automatización mucho más difícil de detectar.
Por qué un antivirus no basta
Nuestros equipos de Pradeo buscaron el malware en la base de datos de un antivirus líder: no aparecía ninguna alerta sobre el contenido de la aplicación. En otras palabras, el antivirus no señaló la aplicación maliciosa, aunque esta sí aparece como tal con una simple búsqueda en los motores de búsqueda.
Esta situación se explica por el modo de detección de los antivirus, que se apoya sobre todo en firmas y comportamientos ya catalogados. Una aplicación maliciosa obtenida mediante phishing por SMS e instalada fuera de la Play Store puede pasar desapercibida en un escaneo si su código todavía es poco conocido y si sus acciones peligrosas solo se activan tras la instalación y la concesión de permisos.
La clave de la detección reside aquí en el encadenamiento de múltiples indicadores de compromiso: enlace SMS dudoso que lleva a una fuente desconocida, instalación fuera de la tienda, solicitudes de permisos críticos y después elementos visibles como superposiciones de pantalla, interacciones simuladas o captura de pantalla.
Tomadas por separado, estas señales pueden parecer benignas, pero consideradas en conjunto y en su orden de aparición revelan un ataque en curso, algo que la lógica de un antivirus puede pasar por alto.
Cómo bloquea este ataque Pradeo Mobile Threat Defense
A diferencia de un antivirus, una solución de Mobile Threat Defense (MTD) observa el comportamiento real del terminal e interviene en cada etapa clave:
- Bloqueo del enlace de phishing:
Gracias al módulo antiphishing integrado en la aplicación Pradeo Security, el acceso a la página maliciosa queda directamente impedido. El usuario nunca llega a la página de descarga y por tanto no puede obtener el APK. - Impedimento de la instalación de riesgo:
La solución Pradeo Mobile Threat Defense detecta que una aplicación proviene de una fuente desconocida y alerta de inmediato al equipo de seguridad para evitar cualquier compromiso. - Vigilancia de los permisos y los comportamientos:
- Con Pradeo Mobile Threat Defense, toda solicitud de permiso crítico (como la accesibilidad) señala de inmediato la aplicación como potencialmente maliciosa. Queda entonces en cuarentena, lo que le impide tomar el control del terminal o ejecutar acciones intrusivas
- Nuestra solución supervisa también los comportamientos de interfaz y de sistema (superposiciones de pantalla, interacciones simuladas, actividad de red anómala). Ante la menor superposición maliciosa, el acceso a las aplicaciones sensibles se corta de inmediato.
El ejemplo de Herodotus lo confirma: los antivirus no están adaptados a las amenazas móviles modernas, que combinan ingeniería social, instalación fuera de la tienda y comportamientos sensibles. Para proteger de forma eficaz a los empleados y los datos corporativos, una solución de protección del parque móvil (MTD) es hoy esencial.
