07/11/2022    

BOLETÍN NRO 2022-644

Hydra es un troyano bancario para Android. En sus inicios, tenía como objetivo exclusivamente al sector bancario turco. Sin embargo, muestras estudiadas recientemente, se detecto su presencia en entidades de Latinoamérica y Europa. Lo novedoso es que también tiene como objetivo un gran numero de exchanges de criptomonedas, haciendo posible robo de las cuentas de los usuarios e incluso wallets. 

Cuenta con una gran cantidad de características que hacen del malware especial. Las cuales son: 

-Anti-Emulación: Con el fin de evitar que se ejecute en entornos de análisis dispone de diferentes comprobaciones.

-Control remoto del dispositivo: Se descarga la aplicación TeamViewer para luego después ocultar el icono y utilizarla para tomar el control del dispositivo.

-Monitorización de los SMS: Permite ver todos los mensajes SMS del dispositivo de la víctima, tanto la aplicación por defecto como otras aplicaciones que se utilizan para el mismo fin.

-Monitorización de notificaciones: Observa y controla todas las notificaciones del dispositivo.

-Control de aplicaciones: Permite instalar y desinstalar cualquier aplicación.

-Componente PIN: Métodos para controlar y resetear el PIN del dispositivo.

-Control de códigos USSD.

-SOCKS5: Implementa un servidor proxy SOCKS5.

-Keylogger: Capaz de registrar las pulsaciones que se realizan en el teclado.

-Comandos: Gestor de comandos recibidos por el C2.

-Inyecciones: Permite hacer inyecciones de cookies/Webviews.

Los países de las nuevas entidades afectadas son:

Argentina (ar)

Canadá (ca)

Bélgica (be)

Portugal (pt)

Colombia (co)

República Checa (cz)

Alemania (de)

Reino Unido (uk)

España (es)

Estados Unidos (ue)

Francia (fr)

Italia (it)

Hungría (hr)

Israel (il)

Ucrania (io)

Indonesia (id)

Vietnam (my)

Perú (pe)

Polonia (pl)

Arabia Saudita (sa)

Para más información sobre amenazas que afectan al sector bancario, consultar el Boletín Nro. 2021-604.

Indicadores de Compromiso

IP

80[.]82[.]76[.]16

193[.]106[.]191[.]157

URL

hxxp[:]//birigeldomisosnet[.]net/login

hxxp[:]//pasotyusmartss[.]net/login

hxxps[:]//80[.]82[.]76[.]16/login

hxxp[:]//80[.]82[.]76[.]16/login

hxxp[:]//80[.]82[.]76[.]16[:]8093/login

hxxp[:]//80[.]82[.]76[.]16[:]8092/login

hxxp[:]//80[.]82[.]76[.]16[:]8091/login

hxxp[:]//80[.]82[.]76[.]16[:]8090/login

hxxp[:]//80[.]82[.]76[.]16[:]8088/login

hxxp[:]//80[.]82[.]76[.]16[:]8086/login

hxxp[:]//80[.]82[.]76[.]16[:]8085/login

hxxp[:]//80[.]82[.]76[.]16[:]8084/login

hxxp[:]//80[.]82[.]76[.]16[:]8082/login

hxxp[:]//80[.]82[.]76[.]16[:]8033/login

hxxp[:]//80[.]82[.]76[.]16[:]7073/login