El troyano bancario PixPirate ataca a dispositivos Android

Los operadores del troyano bancario PixPirate para Android han adoptado una táctica novedosa para eludir la detección de dispositivos comprometidos y recopilar datos confidenciales de los usuarios en Brasil. Según un informe técnico reciente de IBM, este método implica ocultar el icono de la aplicación maliciosa en la pantalla de inicio del dispositivo de la víctima.

El investigador de seguridad Nir Somech explicó que este enfoque garantiza que las víctimas no se den cuenta de las actividades maliciosas llevadas a cabo por el malware en segundo plano durante las fases de reconocimiento y ataque.

PixPirate, identificado inicialmente por Cleafy en febrero de 2023, es conocido por explotar los servicios de accesibilidad de Android para ejecutar transferencias de fondos no autorizadas a través de la plataforma de pago instantáneo PIX cuando los usuarios acceden a aplicaciones bancarias específicas.

Este malware, que muta constantemente, también puede robar credenciales bancarias en línea, datos de tarjetas de crédito, interceptar mensajes SMS y capturar pulsaciones de teclas para acceder a códigos de autenticación de dos factores.

PixPirate se difunde a través de textos y aplicaciones sociales

El método de distribución típico implica SMS y WhatsApp, con una aplicación cuentagotas que facilita el despliegue de la carga útil principal para el fraude financiero. Somech aclaró que en el caso de PixPirate, el descargador no solo instala la carga útil sino que también la ejecuta, desempeñando un papel activo en las actividades maliciosas al comunicarse con la carga útil principal y ejecutar comandos.

El descargador solicita a los usuarios que actualicen la aplicación, recuperando el componente PixPirate de un servidor controlado por el actor de amenazas o instalándolo si está integrado en él. En particular, la última versión de la carga útil principal ya no incluye actividad para iniciar la aplicación desde la pantalla de inicio tocando su ícono. Esto significa que tanto el descargador como la carga útil principal deben colaborar, y el descargador se vincula a un servicio exportado por la carga útil principal para ejecutar el APK de PixPirate.