Desde Hispasec se han hecho eco de la detección de un nuevo malware bancario en Android, perteneciente a la que parece ser una familia no identificada anteriormente, tras ser analizada en VirusTotal, Koodous y por el propio equipo de Hispasec.
El malware viene en un archivo APK llamado TeaTV. TeaTV es un servicio para ver series y televisión online sin licencia, y en este caso, la aplicación es falsa, ya que no es la oficial del servicio. El archivo era capaz de instalar un servicio de accesibilidad en el teléfono para controlar toda la actividad del mismo, con el fin de detectar la apertura de aplicaciones bancarias.
Si has instalado alguna app llamada TeaTV.apk, conviene borrarla de inmediato
Según indica Hispasec, el nuevo malware parece ser de una nueva familia. Se trata de un troyano bancario, aunque sigue la estrategia habitual de este tipo de malware a la hora de intentar robar los datos. Este malware aprovecha los permisos de accesibilidad de Android, los cuales solicita nada más instalarse. Tras darle permisos de accesibilidad, el malware es capaz de detectar las pulsaciones de botones, cambios en campos de texto y demás en nuestro teléfono. ¿Qué consiguen con esto?
Tan pronto como interactuamos con algún elemento de la interfaz de nuestro dispositivo, el malware recibe información asociada al mismo: en otras palabras, puede saber cuándo hemos abierto una aplicación bancaria.
"teatv.apk": 638f5a51aca3308e00418dc119a481feb0f72b04041a9a7fafce8587b74f62da pic.twitter.com/OwvSiuwoPo
— MalwareHunterTeam (@malwrhunterteam) January 7, 2021
Si detecta que la hemos abierto, abre automáticamente una vista web con un formulario de phishing, para hacerse con nuestras credenciales de inicio. Además de inyectar phishing, el malware envía información sobre los eventos de accesibilidad que recoge, para tener un registro sobre la actividad del teléfono.
La aplicación, como indicamos, es un APK falso, es decir, no pertenece realmente a TeaTV. Si nos vamos a la página del servicio, vemos que el APK que descargamos recibe el nombre de teatv _ release _ 310.apk, es decir, el nombre de archivo y versión. El APK infectado es teatv.apk, una copia de la app original, pero con malware.
Vía | Hispasec
