20/10/2022   

BOLETÍN NRO 2022-604

El malware espía se implementa en una operación de vigilancia masiva que ha estado en marcha desde al menos 2016. Además, varias empresas de ciberseguridad han informado sobre el grupo de ciberdelincuentes 'Domestic Kitten', que se cree que están patrocinados por el estado iraní. La nueva versión de FurBall se distribuye a través de sitios web falsos, donde las víctimas acceden después de mensajes directos, publicaciones en redes sociales, correos electrónicos, mensajes de texto (SMS).

En un caso detectado por investigadores de seguridad, se confirmó que el malware está alojado en un sitio web falso que imita un servicio de traducción de inglés al persa popular en el país.

Figura 1. Sitio falso a la izquierda, sitio real a la derecha

En la versión falsa, hay un botón de Google Play que supuestamente permite a los usuarios descargar una versión de móvil del traductor, pero en lugar de acceder a Google Play, se les envía un archivo APK llamado 'sarayemaghale.apk'.

Según los permisos definidos en el archivo AndroidManifest.xml de la aplicación de Android, el spyware es capaz de robar la siguiente información:

-Contenido del portapapeles.

-Ubicación del dispositivo.

-Mensajes (SMS).

-Lista de contactos.

-Registros de llamadas.

-Grabar llamadas.

-Contenido de las notificaciones.

-Aplicaciones instaladas y en ejecución.

-Información del dispositivo.

Aunque ha limitado el numero de permisos estos aun les permiten poder tomar control del móvil y robar información. Además, el malware puede recibir comandos para ejecutarse directamente desde su servidor de comando y control (C2), al que se contacta a través de una solicitud HTTP cada 10 segundos.

Figura 2. Respuesta (C2) que no devuelve ningún comando para su ejecución.

En términos de la nueva capa de ofuscación, investigadores informan que incluye nombres de clase, cadenas, registros y rutas de url del servidor, intentando evadir la detección de los sistemas de seguridad.

La campaña Domestic Kitten todavía está activa y utiliza sitios web falsos, para dirigirse a los ciudadanos iraníes. El objetivo de los atacantes ha cambiado ligeramente de distribuir Spyware de Android con todas las funciones a una variante más ligera, como se describe anteriormente. Porque ahora solo se solicita los permisos necesarios para el ataque y de esta manera pasan desapercibidos a través de los sistemas de seguridad.

Indicadores de Compromiso

HASH

MD5: 6151b1e2e5035a8eb596ce1c37565e87

SHA-256: 0d09d5e46e779d796a8d295043e5bbd90ac43705fa7ff7953faa5d8370840f93