NUEVA ACTIVIDAD DEL MALWARE GOATRAT

16/03/2023

BOLETÍN NRO 2023-173

Un troyano bancario para Android llamado GoatRAT con capacidad para realizar transferencias de dinero instantáneas no autorizadas ha estado realizando ataques a bancos brasileños para explotar el nuevo sistema de pago automatizado que está desarrollando en América Latina.

Servicios Afectados

• Sistemas operativos Android

Detalles Tecnicos

CVE: ---

Severidad:   ALTA

Amenaza: GoatRAT

Categoría: Malware

Investigadores de seguridad han observado que la RAT,  se creó primero como una herramienta de administración remota de Android para tomar el control de los dispositivos de las víctimas y tenía como objetivo tres bancos brasileños: El NUBank, el Banco Inter y el PagBank.

Además, realizar transferencias automáticas parece ser el único objetivo del troyano, que a diferencia de otros programas similares no incluye la capacidad de robar códigos de autenticación o mensajes SMS entrantes, según las investigaciones.

GoatRAT primero abusa del Servicio de Accesibilidad en un dispositivo Android para verificar que el nombre del paquete activo coincide con uno de una lista de nombres de paquetes de aplicaciones objetivo, y luego despliega el malware.

Una vez identificada la aplicación objetivo, el malware crea una falsa ventana bancaria superpuesta que aparece sobre la aplicación legítima para ocultar su actividad maliciosa a la víctima. Este y otro proceso encubierto permiten al troyano introducir una cantidad de dinero a transferir, así como la clave Pix del dispositivo en la aplicación bancaria legítima sin alertar a la víctima, según los investigadores.

El malware también introduce un mecanismo de pulsación automática de los botones "Confirmar" y "Pagar" de la aplicación bancaria legítima para completar la transferencia instantánea de dinero. Una vez completada la transferencia, elimina la ventana superpuesta de la parte superior de la aplicación bancaria legítima y concluye el proceso malicioso.

Indicadores de Compromiso

Dominio

goatrat[.]com

URL

hxxps[:]//goatrat[.]com/apks/apk20[.]apk

hxxp[:]//api[.]goatrat[.]com

hxxp[:]//bit[.]ly/nubankmodulo

hxxps[:]//bit[.]ly/nubankmodulo

Hash

MD5: 9a8e85cf1bbd32c71f0efa42ffedf1a0

SHA-256: 6583a9b6b83738e0bf2a261fc04483e18772da3241e467fdef37a8e27b1869a7

Recomendaciones

Se recomienda a nuestros clientes que cuenten con los servicios que puedan verse afectados, seguir las siguientes acciones preventivas para reducir riesgos:

Para el personal de seguridad de información:

• Mantener un protocolo estricto para realizar copias de seguridad de los activos de información de mayor criticidad.

• Mantener un protocolo de actualizaciones estricto de sistemas operativos, antivirus y todas las aplicaciones que se ejecutan en ellos.

• Concientizar constantemente a los usuarios en temas relacionados a seguridad informática.

• Mantener el conocimiento situacional de las últimas amenazas y zonas vulnerables de la organización.

• Bloquear los indicadores de compromisos (IOC) mostrados, en los dispositivos de seguridad de su infraestructura.

** Antes de realizar el bloqueo de IoCs o aplicar actualizaciones es importante que previamente en ambiente de desarrollo se valide y confirme a nivel de servicios, con el propósito de aplicar los cambios de manera controlada.

Para usuarios finales:

• No abrir correos electrónicos de dudosa procedencia (remitente desconocido), ni dar clic en enlaces, ni descargar archivos adjuntos desconocidos.

• Escanear todo el software descargado de Internet antes de la ejecución.

• De detectar cualquier actividad anómala en su equipo reportarlo inmediatamente a los encargados de seguridad de la información de su institución.

Fuente

• Fuente 1: GoatRAT Android Banking Trojan Targets Mobile Automated Payment System
• Fuente 2: Equipo de Anti-Fraude y Dark Web Intelligence SecureSoft

Contáctanos

Si usted tiene alguna consulta no dude en contactarse con nosotros: 

Perú:
Consultas técnicas: monitoreo_pe@securesoftcorp.com 
Consultas comerciales: ventas@securesoftcorp.com

Ecuador:
Consultas técnicas: monitoreo_ec@securesoftcorp.com
Consultas comerciales: ventas_ec@securesoftcorp.com

Colombia:
Consultas técnicas: monitoreo_co@securesoftcorp.com
Consultas comerciales: ventas_co@securesoftcorp.com

Chile:
Consultas técnicas: monitoreo_cl@securesoftcorp.com
Consultas comerciales: ventas_cl@securesoftcorp.com

​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​