Ciberseguridad

Una campaña maliciosa dirigida a dispositivos Android en todo el mundo utiliza miles de bots de Telegram para infectar dispositivos con malware que roba SMS y roba contraseñas 2FA de un solo uso (OTP) para más de 600 servicios.

Los investigadores de Zimperium descubrieron la operación y la han estado rastreando desde febrero de 2022. Informan haber encontrado al menos 107.000 muestras de malware distintas asociadas con la campaña.

Los ciberdelincuentes están motivados por el beneficio económico, y lo más probable es que utilicen dispositivos infectados como relés de autenticación y anonimización.

El ladrón de SMS se distribuye a través de publicidad maliciosa o bots de Telegram que automatizan las comunicaciones con la víctima.

En el primer caso, las víctimas son conducidas a páginas que imitan a Google Play, y reportan recuentos de descargas inflados para agregar legitimidad y crear una falsa sensación de confianza.

En Telegram, los bots prometen darle al usuario una aplicación pirateada para la plataforma Android, pidiendo su número de teléfono antes de compartir el archivo APK.

El bot de Telegram usa ese número para generar un nuevo APK, lo que hace posible el seguimiento personalizado o futuros ataques.

Zimperium dice que la operación usa 2.600 bots de Telegram para promover varios APK de Android, que son controlados por 13 servidores de comando y control (C2).

La mayoría de las víctimas de esta campaña se encuentran en India y Rusia, mientras que Brasil, México y Estados Unidos también tienen un número significativo de afectados.