Ciberseguridad

Si el malware logra introducirse en un dispositivo con Android, se hará pasar por Google Protect para ejecutar un supuesto escaneo de seguridad. Así, solicitará acceso a los servicios de Accesibilidad para una herramienta que, a primera vista, no genera mayores sospechas. Sin embargo, una vez que lo consigue se "adueña" del funcionamiento del móvil.

BleepingComputer detalla que el software malicioso alcanza tal control sobre el teléfono infectado, que hace imposible eliminar al troyano. Pero no solo eso. También es capaz de acceder a los mensajes de texto y las notificaciones, grabar la pantalla, realizar llamadas, guardar datos en medios de almacenamiento externos, y hasta capturar los códigos de uso único de apps como Google Authenticator.

Pero si te preguntas cómo logra falsificar las pantallas de acceso a las apps bancarias y de criptomonedas, la historia se vuelve todavía más compleja. Al estar conectado a un servidor C2 —"mando y control"—, este malware de Android envía una lista con las aplicaciones instaladas en el dispositivo. Si detecta la presencia de alguna de las apps compatibles con el ataque, descarga un formulario de inicio de sesión falso que sea compatible.

Pero eso no es todo. El software malicioso no suplanta la pantalla de logueo para luego esperar a que el usuario abra la app afectada e introduzca su nombre de usuario y contraseña. Lo que también hace es crear notificaciones falsas de las aplicaciones en cuestión, que engañan a los usuarios para introducir sus credenciales.

Un troyano con más de un truco bajo la manga

Otro aspecto a considerar es que el malware intentará robar las credenciales de cualquier dispositivo Android que infecte. Incluso si el móvil no tiene instalada alguna de las más de 400 apps que intenta atacar. ¿Qué hace en estos casos? Puede grabar la pantalla para capturar el nombre de usuario y contraseña que los usuarios utilicen en otros bancos o plataformas cripto.

Como último dato curioso, GodFather escanea el idioma del móvil infectado y no ataca a quienes lo tengan configurado en idiomas específicos. Tales los casos de ruso, azerbaiyano, armenio, bielorruso, kazajo, kirguís, moldavo, uzbeko o tayiko. Esto hace suponer a los expertos en seguridad que el malware proviene de Rusia u otros exterritorios de la Unión Soviética.