Investigadores en ThreatFabric han publicado un informe que detalla sus hallazgos sobre BlackRock, el troyano bancario de Android. Descubierto en mayo, BlackRock roba las credenciales de inicio de sesión y la información de la tarjeta de crédito y se ha dirigido a 337 aplicaciones financieras, de comunicación, de citas y de redes sociales.
Según ThreatFabric, BlackRock se presenta como una actualización de Google falsa y requiere privilegios de accesibilidad. Una vez que el troyano recibe los privilegios necesarios, otorga permisos adicionales para que pueda operar sin la necesidad de ninguna interacción adicional con el usuario del dispositivo.
BlackRock puede recopilar información del dispositivo, realizar ataques de superposición, actuar como un registrador de teclas, enviar notificaciones del sistema al servidor C2, reducir el uso de antivirus e incluso evitar la desinstalación.
ThreatFabric dice que BlackRock se basa en el malware bancario Xerxes, que fue una cepa del troyano bancario Android que LokiBot descubrió en 2019.
LokiBot fue detectado como malware alquilado entre 2016 y 2017. Más tarde se filtró el código fuente del troyano.
En 2018, se descubrió que MysteryBot, que incluía actualizaciones del troyano LokiBot, por lo que funcionaba en dispositivos Android más nuevos, estaba activo. Parasite, el sucesor de MysteryBot, también se basó en LokiBot, aunque finalmente desapareció del panorama de amenazas, y Xeres lo reemplazó en 2019. Está avanzando hasta mayo de 2020, y BlackRock ha aparecido.
“Después de las investigaciones, quedó claro que este recién llegado proviene del código de malware bancario Xerxes, que en sí mismo es una cepa del troyano bancario Android LokiBot. El código fuente del malware Xerxes fue hecho público por su autor alrededor de mayo de 2019, lo que significa que es accesible para cualquier actor de amenazas «, muestra el informe.
«Cuando el código fuente del malware se filtra o es accesible al público, es bastante común ver el panorama de amenazas lleno de nuevas variantes de malware o familias basadas en ese código», continuó el informe.
Hasta la fecha, los objetivos de BlackRock para el robo de acreditaciones han incluido las siguientes aplicaciones:
También apuntó a varias aplicaciones bancarias en un esfuerzo por robar credenciales, que incluyen:
- Barclays
- Santander
- Royal Bank of Scotland
- Lloyds
- EN G
- Fuentes de Fargo.
Para robar información de tarjetas de crédito, BlackRock se ha dirigido a una amplia gama de aplicaciones, que incluyen:
