Warning: Variante del Spyware Exodus afecta a dispositivos iOS

Investigadores de seguridad de Lookout han descubierto una versión del Spyware ‘Exodus’ en iOS. Recordemos que el mes pasado Spyware se encontró en la tienda oficial de Android, “Google Play”. Desde el equipo comentan que esta variedad del malware es menos sofisticada y menos intrusiva que la versión de Android. Además, no existen indicios de que aplicaciones de la tienda oficial de Apple se hayan visto afectadas.

Se trata de un Spyware desarrollado por Connexxa, compañía italiana, famosa por ser proveedora de herramientas de vigilancia a las autoridades italianas. Salió a la luz el mes pasado, cuando un equipo de investigadores de seguridad, “Security Without Borders”, encontraron el malware escondido en una aplicación en la Google Play Store, dirigido a clientes de un un proveedor de servicios italiano. 

Figura 1: Apple Store

Los investigadores comentaron que el spyware tenía un conjunto avanzado de funciones de espionaje que proporcionaban a los atacantes el control total de los dispositivos infectados y que durante los 2 últimos años se han detectado cerca de 25 aplicaciones infectadas en la tienda de Google.

En la conferencia Kaspersky Security Analyst Summit, que está teniendo en lugar en Singapore, el equipo de Lookout ha sacado a la luz esta variante dirigida a iOS y que, según Adam Bauer, investigador del equipo, han detectado gracias al análisis de muestras de Android.

Además, Bauer añadió que la versión iOS se distribuía a través de sitios de phishing que imitaban a los operadores móviles italianos y turcos. Las aplicaciones infectadas por Exodus fueron firmadas con certificados emitidos por Apple, lo que permitió a las víctimas instalar las aplicaciones maliciosas, incluso desde fuera de la App Store. Cabe destacar que Apple ya ha revocado dichos certificados.

Al contrario que en Android, que tenía todo el control del dispositivo, la variante de iOS sólo podía recopilar y robar contactos, fotos, vídeos, grabaciones de audio, información GPS y localización de dispositivos. Según la investigación la versión de iOS y Android tienen vínculos, ya que usan la misma infraestructura y hacían uso de un protocolo similar.

Estas catorce aplicaciones de apple pueden suponer un gran riesgo de seguridad

A día de hoy muchos usuarios piensan que la App Store de Apple está libre de malware, por desgracia esto no es cierto, recientemente se ha demostrado que alrededor de una docena de aplicaciones se han estado comunicando con un servidor asociado con Golduck, un malware de Android capaz de infectar varias aplicaciones de juegos según la empresa de ciberseguridad Wandera. Los investigadores de la firma han asegurado encontrar hasta 14 aplicaciones comunicándose con el mismo servidor utilizado por este famoso malware. Esto es una especial causa de preocupación si has instalado alguno de los juegos retro que funcionan con este servidor.

El malware Golduck ha estado presente en el SO Android durante años, sin embargo esta es la primera vez que se le asocia a aplicaciones de Apple. Aunque el problema no sea tan serio en la App Store como en Google Play y las aplicaciones aun no contienen código malicioso, en la actualidad el servidor se encarga de ofrecer anuncios pero esto podría cambiar en un futuro. A su vez los investigadores han comprobado que las aplicaciones afectadas comparten tu dirección IP e información acerca de tu localización con el servidor de Golduck. La mayoría de juegos gratuitos que podemos encontrar en las tiendas de aplicaciones utilizan la publicidad como principal fuente de ingresos, con la ayuda de Golduck un atacante podría utilizar s publicitarios para añadir links que redirijan a las víctimas hacia la instalación de un perfil o certificado que en última instancia permita la instalación de una app maliciosa.

Figura 1: Anuncio en aplicación de juego

Tras conocer esta noticia, si eres de los usuarios que han descargado algunos de los juegos que os mencionaremos a continuación es recomendable que los desinstales de tu dispositivo para prevenir un posible ataque. Los juegos afectados son:

• Commando Metal: Classic Contra Super Pentron 
• Adventure: Super Hard 
• Bomber Game: Classic Bomberman 
• Super Adventure of Maritron 
• Classic Tank vs Super Bomber 
• Roy Adventure Troll Game 
• Trap Dungeons: Super Adventure 
• Bounce Classic Legend 
• Block Game 
• Classic Bomber: Super Legend 
• Brain It On: Stickman Physics 
• The Climber Brick 
• Chicken Shoot Galaxy Invaders 
• Classic Brick - Retro Block 

Por desgracia esta no es la primera vez que alguna aplicación de Apple sufre de problemas de seguridad, el pasado mes se descubrieron algunas aplicaciones de fitness maliciosas que robaban dinero de sus usuarios a través del Touch ID. Situaciones así nos recuerdan la importancia de informarnos acerca de que aplicaciones instalamos y de si estas son de desarrolladores conocidos y de confianza.

Apple elimina aplicaciones fraudulentas de comercio de opciones binarias de la App Store

Apple y Google han eliminado cientos de aplicaciones comerciales fraudulentas. Recientemente, cientos de aplicaciones móviles que ofrecen opciones de comercio se han eliminado de Google Play y de la App Store después de una investigación de la Comisión de Valores e Inversiones de Australia, conocida como ASIC. La ASIC investigó a más de 330 aplicaciones ofrecidas a los australianos y encontró muchas declaraciones engañosas publicadas sobre la rentabilidad de la negociación y las cantidades que se podrían conseguir. 

El comercio de opciones binarias es aquel que tiene una rentabilidad fija o nada. Suele ser de dos tipos: efectivo o nada o activos o nada. El comercio de opciones binarios se ha comparado al juego, e implica al comerciante que consigue el valor en un momento dado o pierde todo el dinero invertido. ASIC encontró que el 80 por ciento de las aplicaciones no contenía ninguna advertencia sobre los riesgos de perder dinero y muchas aplicaciones recopilaban información para llamadas de alta presión de clientes. También ofrecieron actividades asociadas tales como casino, lotería y otros servicios. Los inversores más ancianos eran un objetivo claro.

Figura 1: Comercio de opciones binarias

La comisionada de ASIC, Cathie Armor, comentó en un comentado que: "Este es un recordatorio oportuno para los inversores para permanecer atentos y no caer en publicidad llamativa o venta. Los inversores también necesitan asegurarse de que cualquier proveedor de servicios financieros, independiente de la forma en que se presta el servicio, está debidamente licenciado y autorizado para proporcionar esos servicios". Sin lugar a la duda, la acción de ASIC para proteger a los inversores y usuarios de los markets oficiales de Google y de Apple es una acción dura contra el fraude.

SpyNote RAT se hace pasar por Netflix para robarte

Cada día que pasa los dispositivos móviles se utilizan más y más. Los usuarios tienen un mayor apego y los utilizan con mayor frecuencia. La noticia de hoy nos habla de Netflix y un malware o RAT que se aprovecha de los usuarios para robarles información. La aplicación de Netflix tiene de millones de usuarios, por lo que ha captado la atención de los usuarios maliciosos, los cuales están explotando la popularidad de Netflix con el objetivo de propagar el malware. El equipo de investigación de ThreatLabZ encontró una falsa aplicación de Netflix, la cual resultó ser una variante de SpyNote RAT, un troyano que permite el acceso remoto.

SpyNote RAT permite realizar una variedad de funciones como, por ejemplo, activar el micrófono del dispositivo y escuchar las conversaciones en directo, ejecutar comandos en el dispositivo, copiar archivos desde el dispositivo y enviarlos a la ubicación de los atacantes, grabar capturas de pantalla, visualizar contactos, leer mensajes de SMS, etcétera. El Spyware se muestra como una aplicación de Netflix y una vez instalado muestra el icono encontrado en la aplicación de Netflix de Google Play. Tran pronto como el usuario hace clic en el icono de la app se ejecuta el malware. El icono desaparece de la pantalla y parece que no ocurre nada, pero sí ocurre. Es un truco entre los desarrolladores de malware, el usuario piensa que la aplicación puede haber sido eliminada.

Figura 1: Netflix fake

La app se pone en contacto con el C&C utilizando para ello servicios DNS gratuitos. La ejecución de comandos puede crear estragos en la víctima. La captura de pantalla y grabación de audio también es realizada de forma activa con este malware, por lo que el malware puede tomar capturas de pantalla de lo que ocurra en el terminal y utilizar el micrófono para grabar conversaciones o conversaciones cercanas al terminal. También, se produce un robo de SMS de dispositivos afectados, lo cual podría afectar a los TOTP. Por supuesto, la agenda es uno de los elementos que también se ven afectados. Hay que evitar la descarga y ejecución de aplicaciones de terceros o fuera de los market oficiales.

InstaAgent volvió a la AppStore con otro nombre

El pasado mes de Noviembre hablamos en Seguridad Apple de la aplicación IstaAgent, el cual era un cliente bastante popular de Instagram que estaba robando credenciales de los usuarios. La aplicación enviaba dicha información a un servidor externo. Apple eliminó la aplicación de la AppStore y la amenaza parecía erradicada. Ahora parece que el desarrollador que estaba detrás de dicha aplicación ha conseguido dos nuevas aplicaciones aprobadas por Apple y Google, ambas aplicaciones están robando credenciales de Instagram.

El investigador que descubrió la función maliciosa en la primera aplicación, es decir, en InstaAgent, publicó la semana pasada una entrada en la que las nuevas aplicaciones podían robar credenciales de la misma forma. Este investigador escribió un artículo dónde se detalla cómo capturar las credenciales que se envían al servidor remoto. La aplicación InstaAgent atajo a los usuarios de Instagram con la promesa de realizar un seguimiento de las personas que visitaban su perfil. Las dos nuevas aplicaciones hacen promesas similares.

Figura 1: InstaCare app que roba credenciales de Instagram

Ambas aplicaciones dicen que pueden mostrar un listado de usuarios que interactuan a menudo con una cuenta o perfil de Instagram, pidiendo permiso a los usuarios para iniciar sesión. En ese instante es dónde las credenciales son robadas y enviadas al servidor externo. El envío de los usuarios y contraseñas no se realizaba por HTTP, y sí por HTTPs, de esta forma se intentaba ocultar la evidencia. Varias revisiones en la AppStore afirman que después de utilizar aplicaciones maliciosas de este tipo, sus cuentas se vieron comprometidas con fotos a modo de spam. Tanto Apple como Google llevarán a cabo la eliminación de ambas apps.

Secret: La aplicación para mensajes anónimos cierra

Secret dice adios

La app Secret, de la que ya hemos hablado en Seguridad Apple debido al caso de Brasil y la app, ha echado el cierre. La compañía lanzó la aplicación formalmente el año pasado y se dice que han conseguido entre 33 y 35 millones de dólares en financiación. El CEO David Byttow comentó el pasado miércoles que tras mucho reflexionar y consultas al nuevo consejo de administración ha decidido cerrar la Secret. Secret permite a sus usuarios enviar comentarios a una fuente como si fuera una actualización de estado de Facebook, pero sin nombres adjuntos.

La aplicación llamó la atención a principios del año pasado, ya que fue uno de los primeros en recoger el testigo de un grupo cada vez mayor de aplicaciones similares como Whisper o Yik Yak. Secret disponía de más de 15 millones de usuarios y la financiación será devuelta a los inversores, ya que no se empleará más en el desarrollo de la app. Hasta el miércoles pasado se podía encontrar la app tanto en Google Play como en la AppStore. En España la aplicación tenía parte de éxito, ya que el "cotilleo" nacional ayuda mucho.

Figura 1: Comentarios en Secret

Durante un período de tiempo, la aplicación había sido un punto caliente entre las populares, ya que estaba llena de detalles íntimos de personas y de sus vidas laborales, pudiéndose utilizar dicha información. En Julio del año pasado, Secret, lanzó una integración única con Facebook, pero sin identificar qué amigo tuyo de Facebook te enviaba los mensajes. En diciembre, Secret recibió un rediseño importante y cambio ciertas funciones. Algunos críticos lo llamaron estafa de aplicación, por su parecido a Yik Yak. Ahora con el cierre de la aplicación, se está buscando salida al personal de la empresa. Byttow dijo que emplearía su tiempo en buscar una salida buena para sus empleados y conseguir que tengan un nuevo puesto de trabajo acorde con las habilidades de cada uno. Comentó que no quería espectáculos sobre empleados que se agolpan en sus oficinas con las cartas de despido en la mano, por lo que lucharía por dar una salida digna a todos.

El malware se aprovecha de WhatsApp en Google Play

Desde hace varios meses, desde Eleven Paths se ha estado siguiendo el comportamiento de los creadores de apps maliciosas en las distintas tiendas de aplicaciones de dispositivos móviles orientadas al mundo del fraude online. Entre los datos que se han ido descubriendo, hay uno que es especialmente significativo y constante: apps maliciosas que simulan ser WhatsApp en Google Play, para Android.

En las siguientes imágenes se pueden ver varias apps que han sido detectadas durante los últimos tiempos, y todas ellas llevan invariablemente el bien grande la marca de WhatsApp en el nombre de la app, lo que no parece que sea muy difícil de detectar para alguien en Google Play si estuvieran haciendo una revisión en profundidad de las apps.

Figura 1: Whatsapp Free, descubierta el 14 de Septiembre de 2013

Figura 2: Whatsapp - Free, descubierta el 14 de Octubre de 2013

Figura 3: Whatsapp 2013 free, descubierta el 19 de Octubre de 2013

Figura 4: gratis Whatsapp, descubierta el 20 de Octubre de 2013

Ayer la app fraudulenta del día que descubrió nuestro compañero Sergio de los Santos (@ssantosv) en Google Play es la que podéis ver en la siguiente captura. De nuevo sigue el mismo patrón, pero esta vez con el mismo nombre exactamente, y de nuevo activa durante más tiempo del deseable.

Figura 5: Falso WhatsApp Messenger, descubierto en Google Play el 23 de Octubre de 2013

Esta última de nuevo era un adware que machaca al usuario con publicidad constante. Todas además tienen logos similares, pero exactamente el mismo, al de la app de WhatsApp para Android, que puede verse a continuación.

Figura 6: WhatsApp Messenger original en Google Play

Desde luego los controles de subidas de apps maliciosas en Google Play no son ni parecidos a los que existen en la App Store, que aunque muchos critican por los duros que son en muchas ocasiones, hay que reconocer que en cuestión de apps maliciosas no son nada malos.

Figura 7: Malware descubierto para smarphones en 2012

El número de apps maliciosas descubiertas en App Store es ínfimo, comparado el número de apps maliciosas descubiertas en Google Play, donde llegaron a colar hasta apps de, supuestamente, Apple iWorks publicadas por Apple Inc.

Google elimina iMessage Chat App por seguridad

Estos días atrás la preocupación por la applicación iMessage Chat publicado en Google Play había levantado todas las alarmas. Esta aplicación permitía que los terminales Android dispusieran del servicio iMessage de Apple, pudiendo comunicarse por medio de los servidores de Apple con usuarios de iPhone, iPad y Mac OS X. Lo que más preocupaba a todo el mundo es que la app funcionaba, algo que Apple no había anunciado de ninguna manera para estos sistemas operativos.

Por supuesto, tras analizar la app en cuestión se podía ver que no se conectaba en ningún momento a ningún servidor de Apple, así que toda la información estaba siendo enviada a los servidores dueños de la app, entre otros datos enviados, el usuario y la contraseña de Apple ID. Allí, los servidores estaban haciendo de man in the middle con Apple para conseguir que la app, en efecto, funcionase y permitiese a usuarios de Android con cuentas de Apple ID utilizar iMessage.

Figura 1: iMessage Chat en Google Play

A día de hoy la app ha sido eliminada, ya que los dueños de ese servicio no habían explicado de forma suficientemente clara que los clientes les estaban haciendo entrega de las credenciales para hacer algo que es ilegal según los terminos del servicio de iMessage.

iWork o iMovie para Android: Una estafa en Google Play

La semana pasada hablamos de que en App Store se cuelan de vez en cuando aplicaciones maliciosas o  simplemente estafas, como el caso de NFC for iPhone 5, hoy toca hablar de la tienda de apps de Android, Google Play. No es que queramos cambiar el tono de este sitio para hablar de Android, pero es que nos ha llamado poderosamente la atención cómo es posible que se cuelen en Google Play aplicaciones como Pages, Numbers, iPhoto, Garage Band, iLife o iMovie pretendiendo venir desde Apple, inc y han fueron aprobadas sin generar una sospecha entre los revisores.

Figura 1: Las fake apps de Apple que se publicaron en Google Play

Google las retiró a las horas, pero suponemos que algunos usuarios se habrán gastado el dinero en ellas - esperamos que Google se lo haya devuelto ya - y lo peor, que no tuvieran malware e infectaran a los que las descargaron. Por supuesto, Apple no ha publicado aún ninguna estrategia de desarrollo de apps para Android, así que si vuelves a encontrarte algo así, ten mucha precaución.

Malware en la App Store: Find and Call

En SecureList, un blog de Karsperksy, han publicado referencias a una aplicación llamada Find and Call, que actualmente se encuentra eliminada de la App Store, que sin notificar nada a los usuarios robaba toda la agenda de contactos desde el terminal - además de la información GPS - y usaba los datos de la agenda para hacer campañas de spam por SMS. La aplicación no solo estaba publicada en App Store, sino que también era posible detectarla en Google Play en su versión para Android, y tanto Google como Apple ya han decidido eliminarla de la lista de aplicaciones disponibles.

Figura 1: Find and Call en la App Store

Muchos han calificado esta aplicación como si no fuera un malware, ya que "solo" roba datos de terminales que se usan después para hacer campañas de spam, algo que ya habíamos visto en el caso de Storm8 - denunciada y condenada a pagar por las actividades que realizaba - o las aplicaciones Path o Twitter for iOS.

En cualquier caso, una aplicación a día de hoy que realiza el robo de la agenda de contactos sin preguntar a un usuario es una aplicación maliciosa, ya que incumple explícitamente las normas de la App Store, y cualquier buena práctica de privacidad y/o deseo del usuario.

Figura 2: Lista de campos robados de la agenda de contactos

Por supuesto, Kaspersky que anda en discusiones con Apple por la negativa de ésta de abrir la veda a los antimalware en los dispositivos iOS, ve reforzados sus argumentos de la imposibilidad de detectar malware complejo con las pruebas que se realizan a las aplicaciones desde Apple antes de ponerlas disponibles en la App Store. En cualquier caso la aplicación ha sido eliminada, aunque los datos, por supuesto, están ya en manos de personas no deseadas en la actualidad, y el daño ya está hecho.