Los investigadores de seguridad de Threat Fabric han encontrado un nuevo malware dirigido a dispositivos Android que imita la escritura humana, incorporando retrasos aleatorios para evadir la detección.
El malware ha sido creado por un actor con el alias K1R0 y se ha encontrado en campañas que se encuentran activas en Italia y Brasil. En el primero se hace pasar por una aplicación móvil denominada Banca Sicura y en el segundo por otra llamada Módulo Seguranca Store.
Herodotus se distribuye a través de mensajes de texto (SMS) que invitan a instalar una herramienta maliciosa, la cual espera a que se abra la app objetivo para mostrar una pantalla superpuesta y robar los credenciales.
Asimismo, tiene la capacidad de interceptar SMS (para capturar códigos de un solo uso) y explotar funciones de accesibilidad de Android para leer lo mostrado en pantalla.
Sin embargo, lo que la diferencia es que, en lugar de pegar los datos de golpe en formularios, teclea carácter a carácter con pausas aleatorias de entre 0,3 y 3 segundos entre pulsaciones. Lo hace para imitar la cadencia humana y así evitar la detección.
«Hemos observado casos en los que los desarrolladores pausaban la ejecución de acciones automatizadas para esperar a que se actualizara la interfaz de usuario (sobre todo en dispositivos antiguos, cuya interfaz tarda en cargar). Sin embargo, no se produjeron retrasos aleatorios, ya que la aleatoriedad no es necesaria», recoge el informe de la firma holandesa.
«Por lo tanto, sospechamos con bastante certeza que dicho retraso pretende imitar el comportamiento humano al automatizar la entrada de texto», añade.
Esto solo es el principio
Desde Threat Fabric creen que la amenaza, todavía en desarrollo y ‘alquilable’, puede evolucionar y usarse más adelante en campañas globales.
“El descubrimiento de Herodotus, otro troyano bancario de toma de control de dispositivos en un panorama ya de por sí plagado de riesgos, demuestra la creciente popularidad de estas amenazas entre los ciberdelincuentes, así como la eficiencia comercial del modelo de negocio de malware como servicio, ya que los cibermalos ya anuncian a Herodotus como una amenaza que se puede alquilar”, concluye el informe.
