- Los ciberdelincuentes utilizan aplicaciones web progresivas (PWA) en Android.
- Se hacen pasar por páginas de seguridad de Google para engañar a los usuarios.
- Buscan robar credenciales, datos de billeteras de criptomonedas, contraseñas de un solo uso y ubicación GPS.
Una nueva y preocupante campaña de phishing ha surgido en Android, donde los atacantes están abusando de las aplicaciones web progresivas (PWA) para llevar a cabo sus actividades maliciosas. Los expertos advierten que estas PWA se utilizan para sustraer información sensible como credenciales de acceso, datos de billeteras de criptomonedas, información de GPS y mucho más. La campaña detectada por investigadores de Malwarebytes comienza con un correo electrónico de phishing que dirige a las víctimas a un sitio web fraudulento, google-prism[dot]com, que simula ser una página de seguridad de Google.
El engaño de las PWA de seguridad
Bajo la apariencia de una mejora en la seguridad, a los usuarios se les guía a través de un proceso de verificación de cuatro pasos que culmina en la instalación de una PWA maliciosa. Las PWA, para quienes no estén familiarizados, son sitios web que pueden instalarse y ejecutarse como aplicaciones nativas en un dispositivo, pero operan a través del navegador web. Una vez instalada, la PWA solicita permisos para enviar notificaciones, acceder al portapapeles y otras funciones del navegador, además de configurar un 'service worker' para habilitar tareas en segundo plano y la preparación de datos. En este punto, el malware comienza a recopilar datos de forma activa mientras la aplicación está abierta.
Recopilación de datos y acceso a redes
El malware es capaz de recolectar el contenido del portapapeles, direcciones de billeteras de criptomonedas, contraseñas de un solo uso a través de la API WebOTP, contactos, datos de GPS y detalles de huellas digitales del dispositivo. Dado que la información solo se puede recopilar mientras la aplicación está abierta, la PWA enviará notificaciones push a la víctima para mantenerla activa. Adicionalmente, la PWA establece una capacidad de retransmisión basada en WebSocket y un proxy HTTP, permitiendo a los atacantes enrutar solicitudes web, escanear redes internas e incluso acceder a recursos locales. Esta funcionalidad amplía significativamente el alcance del compromiso potencial.
Compromiso profundo con aplicaciones complementarias
En algunos casos, la campaña incentiva a las víctimas a descargar una aplicación complementaria, promocionada como una 'actualización de seguridad crítica'. Esta aplicación solicita permisos extensos y se registra como administrador del dispositivo. Diseñada para los usuarios más confiados, esta app permite un compromiso más profundo, incluyendo la interceptación de SMS, captura de pulsaciones de teclas mediante un teclado personalizado, monitorización de notificaciones, robo de credenciales y persistencia a largo plazo en el dispositivo. Los investigadores advierten sobre los graves riesgos de seguridad que esto conlleva.
Cómo desinstalar aplicaciones maliciosas
Si sospecha que ha instalado una aplicación de este tipo, puede eliminarla buscando una entrada llamada 'Security Check' en la lista de aplicaciones instaladas. Si su dispositivo tiene una aplicación llamada 'System Service' con el nombre de paquete com.device.sync y tiene acceso de administrador, deberá revocar dicho acceso. Esto se hace navegando a Ajustes > Seguridad > Aplicaciones de administración de dispositivos y, a continuación, desinstalando la aplicación. Es crucial revisar los permisos de las aplicaciones instaladas regularmente.
Para estar al tanto de las últimas amenazas y cómo proteger tus dispositivos, te recomendamos leer nuestro artículo sobre Apps de Android que exponen datos y secretos de Google, que proporciona información valiosa sobre las vulnerabilidades en las aplicaciones móviles. Además, es fundamental estar informado sobre las diferentes formas en que el malware se propaga, como se describe en el artículo sobre el uso de TikTok para propagar malware. Finalmente, si te preocupa la seguridad de tu información, te recomendamos revisar el artículo sobre la tarjeta microSD X-Mask Pro que desafía a los hackers con almacenamiento invisible.