Ciberseguridad

Según investigadores de seguridad, se está implementando una forma altamente diseñada y personalizada de malware para Android para realizar vigilancia a individuos seleccionados.

Descubierto por la compañía de seguridad móvil Lookout, el troyano de acceso remoto Monokle está equipado con una variedad de características intrusivas que le permiten espiar.

Estos incluyen registro de teclas, captura de fotos y videos, recuperación del historial de aplicaciones, incluidos los navegadores web, redes sociales y los servicios de mensajería, el seguimiento de la ubicación del usuario y más.

Además, Monokle tiene la capacidad de instalar certificados confiables que permiten el acceso de root al dispositivo. Esto permite a los atacantes implementar características únicas en su misión de robar datos.

Gran parte de esto se logra explotando los servicios de accesibilidad y adaptándolos para robar datos de aplicaciones de terceros, así como utilizando los diccionarios de texto predictivos del usuario para obtener información sobre los tipos de temas que les interesan. El malware también puede grabar la pantalla cuando se desbloquea para revelar la contraseña de la víctima.

"Monokle es un software de vigilancia móvil avanzado y completo", dijo Adam Bauer al portal ZDNet, el ingeniero de inteligencia de seguridad del equipo y uno de los investigadores detrás de la investigación. "Se puede usar para cualquier propósito que requiera vigilancia a través de un dispositivo móvil".

Aunque Monokle actualmente solo tiene dispositivos Android, los investigadores dicen que varias muestras de malware contienen comandos no utilizados y objetos de transferencia de datos que apuntan a una versión de iOS, lo que sugiere que al grupo le gustaría enfocarse en iPhones en el futuro.

Se cree que el malware está activo desde 2016, con pequeñas explosiones de actividad contra objetivos en la región del Cáucaso, que abarcan Armenia, Azerbaiyán y Georgia, así como objetivos en Siria. Se desconoce el número total de usuarios actualmente comprometidos.

Todavía no se sabe cómo se distribuye Monokle, pero los investigadores señalan que algunas muestras de malware se crean en torno a versiones troyanas de aplicaciones reales, con el mismo aspecto, y que el phishing puede desempeñar un papel en la entrega.

"En ataques similares, como Dark Caracal, observamos el uso de ataques de phishing a través de las aplicaciones de mensajería, SMS o correo electrónico utilizadas para distribuir este tipo de malware", dijo Bauer.

Lookout ha vinculado la infraestructura detrás de Monokle con el Special Technology Center (STC), una compañía rusa que trabaja en San Petersburgo.

El STC fue una de varias compañías rusas sujetas a sanciones por parte de la administración de Obama en diciembre de 2016 por ser "cómplice de actividades maliciosas de ciber-habilitación" contra Estados Unidos. El contratista de defensa es una de las tres compañías sancionadas por brindar apoyo material a la Dirección General de Inteligencia (GRU) en campañas de interferencia electoral.

Los investigadores dicen que STC ha estado desarrollando un conjunto de aplicaciones de seguridad de Android que comparten infraestructura y enlaces con Monokle, incluido el intercambio de los mismos servidores de comando y control.

Aunque Monokle no es una campaña generalizada, los investigadores dicen que el malware de vigilancia todavía se está implementando activamente.