Troyano Marcher para se disfraza de una actualización de Flash

Investigadores advierten sobre una nueva aparición del sofisticado troyano bancario Marcher, capaz afectar a más de 40 aplicaciones financieras.

Zscaler explicó en una entrada de blog que la última versión del malware se disfraza como una actualización de Adobe Flash Player: Adobe_Flash_2016.apk.

El malware también utiliza ingeniería social para engañar a los usuarios para que deshabiliten la seguridad de sus dispositivos Android y permitan instalar aplicaciones de terceros.

Una vez instalado, el malware se esconde y elimina los iconos del menú principal, antes de registrar el dispositivo de la víctima y cualquier otro metadato relevante en su servidor C&C (servidor de control y comandos).

“Después de algunos unos ciclos de sueño, el malware espera que el usuario abra una aplicación desde su lista de objetivos. Encontramos que esta variante es capaz tener como objetivo a más de 40 aplicaciones financieras. Cuando el usuario abre cualquiera de las aplicaciones seleccionadas, el malware superpondrá rápidamente una página de inicio de sesión falsa, lo que atrae a la víctima para que proporcione sus credenciales de usuario”, explicó Zscaler.

Esta versión de Marcher es particularmente peligrosa dado que contiene técnicas de ofuscación para ocultarlo de la mayoría de las herramientas antivirus, añadió la empresa.

En total, menos de 20% fue detectado en VirusTotal.

“Las páginas de acceso superpuestas (falsas) para las aplicaciones financieras se alojan de forma remota, lo que permite al autor actualizarlas según necesite”, siguió explicando el proveedor de seguridad.

“Si el usuario cae en la página de inicio de sesión falsa e introduce sus credenciales bancarias, el troyano Marcher transmite la información al servidor C&C”.

Zscaler dijo que las frecuentes actualizaciones de Marcher revelan que el malware es “una amenaza activa y frecuente para los dispositivos Android”.

“Para evitar ser víctima de este malware, hay que asegurarse de descargar aplicaciones sólo de tiendas de aplicaciones de confianza, como Google Play”, concluyó. “Al desmarcar la opción “fuentes desconocidas” en la configuración “seguridad” de su dispositivo, se pueden evitar descargas inadvertidas de fuentes dudosas”.

Ver información original al respecto em Fuente:
https://www.seguridad.unam.mx/troyano-marcher-para-se-disfraza-de-una-actualizacion-de-flash