Aplicaciones troyanizadas de WhatsApp y Telegram roban billeteras de criptomonedas

El equipo de investigación de ESET descubrió docenas de sitios web que se hacían pasar por Telegram y WhatsApp apuntando principalmente a usuarios de Android y Windows con versiones troyanizadas de estas aplicaciones de mensajería instantánea. La mayoría de las aplicaciones maliciosas que identificamos son clippers, un tipo de malware que roba o modifica el contenido almacenado en el portapapeles (en inglés clipboard). Todos estos clippers buscan robar los fondos de las víctimas, y varios apuntan a las billeteras de criptomonedas. Esta es la primera vez que observamos el uso de clippers para Android disfrazados como apps de mensajería instantánea. Además, algunas de estas aplicaciones utilizan el reconocimiento óptico de caracteres (OCR) para reconocer el texto de las capturas de pantalla almacenadas en los dispositivos comprometidos, que es otra novedad para el malware de Android.

Antes de que se establezca la App Defense Alliance, descubrimos el primer malware del tipo clipper para Android en Google Play, lo que llevó a Google a mejorar la seguridad de Android restringiendo el acceso a información del portapapeles en aplicaciones que se ejecutan en segundo plano para las versiones 10 de Android y superiores. Como lamentablemente muestran nuestros últimos hallazgos, esta acción no logró eliminar el problema por completo: no solo identificamos los primeros clippers en apps de mensajería instantánea, sino que descubrimos varios grupos de ellos. El propósito principal de los clippers que descubrimos es interceptar las comunicaciones en las apps de mensajería que utiliza la víctima y reemplazar cualquier dirección de billetera de criptomonedas enviada y recibida con direcciones que pertenecen a los atacantes. Además de las versiones troyanizadas de las aplicaciones de WhatsApp y Telegram para Android, también encontramos versiones troyanizadas de las mismas apps para Windows.

Por supuesto, estas no son las únicas aplicaciones de imitación que persiguen las criptomonedas: solo a principios de 2022, identificamos actores de amenazas enfocados en reempaquetar aplicaciones legítimas de criptomonedas que intentan robar frases de recuperación de las billeteras de sus víctimas.

Descripción general de las aplicaciones troyanizadas

Debido a la diferente arquitectura de Telegram y WhatsApp, los actores de amenazas tuvieron que elegir un enfoque diferente para crear versiones troyanizadas de cada una de estas dos aplicaciones. Dado que Telegram es una aplicación de código abierto, alterar su código manteniendo intacta la funcionalidad de mensajería de la aplicación es relativamente sencillo. Por otro lado, el código fuente de WhatsApp no ​​está disponible públicamente, lo que significa que antes de volver a empaquetar la aplicación con código malicioso, los atacantes primero tuvieron que realizar un análisis en profundidad de la funcionalidad de la aplicación para identificar los lugares específicos a modificar.

A pesar de cumplir el mismo propósito general, las versiones troyanizadas de estas aplicaciones contienen varias funcionalidades adicionales. Para facilitar el análisis y la explicación, dividimos las aplicaciones en varios grupos en función de esas funcionalidades. En esta publicación, describiremos cuatro grupos de clippers para Android y dos grupos de aplicaciones maliciosas para Windows. En la versión en español de esta publicación compartimos una descripción general de estos cuatro grupos, mientras que en la versión en inglés de esta publicación podrá leer el análisis técnico en profundidad. No obstante, no entraremos en detalle sobre los actores de amenazas detrás de estas aplicaciones maliciosas, ya que hay varios de ellos.

Sin embargo, antes de describir brevemente esos grupos de aplicaciones, ¿qué es un clipper y por qué los ciberdelincuentes lo utilizan? En términos generales, en los círculos de malware, un clipper es una pieza de código malicioso que copia o modifica el contenido en el portapapeles de un sistema. Los clippers son atractivos para los ciberdelincuentes interesados ​​en robar criptomonedas porque las direcciones de las billeteras de criptomonedas en línea están compuestas de largas cadenas de caracteres y, en lugar de escribirlas, los usuarios tienden a copiar y pegar las direcciones usando el portapapeles. Un clipper puede aprovechar esto interceptando el contenido del portapapeles y reemplazando cualquier dirección de billetera de criptomonedas copiada con una a la que los atacantes tienen bajo su control.

El Grupo 1 de los clippers para Android también constituye la primera instancia de malware para Android que usa OCR para leer texto de capturas de pantalla y de otras imágenes almacenadas en el dispositivo de la víctima. OCR se implementa para encontrar y robar una frase semilla, que es un código mnemotécnico compuesto por una serie de palabras que se utilizan para recuperar el acceso a una billetera de criptomonedas. Una vez que los actores malintencionados se apoderan de una frase semilla, son libres de robar todas las criptomonedas almacenadas desde la billetera asociada.

En comparación con la tecnología avanzada que utiliza el Grupo 1, el malware correspondiente al Grupo 2 es muy sencillo. Este malware simplemente cambia la dirección de la billetera de criptomonedas de la víctima por la dirección del atacante en la comunicación de chat, con las direcciones de estas billeteras o bien hardcodeadas o recuperadas dinámicamente desde el servidor del atacante. Este es el único grupo para Android en el que identificamos muestras troyanizadas de WhatsApp además de Telegram.

El Grupo 3 monitorea la comunicación de Telegram en busca de ciertas palabras clave relacionadas con criptomonedas. Una vez que se reconoce dicha palabra clave, el malware envía el mensaje completo al servidor atacante.

Por último, los clippers para Android en el Grupo 4 no solo cambian la dirección de la billetera de la víctima, sino que también extraen datos internos de Telegram e información básica del dispositivo.

Aparte del malware para Windows, había un grupo de clippers de criptomonedas para Telegram que eran utilizados por los ciberdelincuentes simplemente para interceptar y modificar los mensajes de Telegram y cambiar las direcciones de billetera de criptomonedas, al igual que el segundo grupo de clippers para Android. La diferencia está en el código fuente de la versión para Windows de Telegram, que requirió un análisis adicional por parte de los actores maliciosos para poder implementar el ingreso de su propia dirección de billetera.

A diferencia del patrón establecido, el segundo grupo para Windows no está compuesto por clippers, sino por troyanos de acceso remoto (RAT, por sus siglas en inglés) que permiten el control total del sistema de la víctima. De esta manera, los RAT pueden robar billeteras de criptomonedas sin interceptar el flujo de la aplicación.

Distribución 

Según el idioma utilizado en las aplicaciones que se presentan como copias, parece que los operadores detrás de ellas se dirigen principalmente a usuarios de habla china.

Debido a que tanto Telegram como WhatsApp están bloqueados en China desde hace varios años, con Telegram bloqueado desde 2015  y WhatsApp desde 2017, las personas que desean utilizar estos servicios tienen que recurrir a medios alternativos para obtenerlos. Como era de esperar, esto constituye una gran oportunidad para que los ciberdelincuentes abusen de la situación.

En el caso de los ataques descritos en esta publicación, los operadores detrás de estas amenazas primero configuraron anuncios de Google que conducen a canales de YouTube fraudulentos, que luego redirigen a los desafortunados espectadores a imitar los sitios web de Telegram y WhatsApp, como se ilustra en la Figura 1. Además de eso, un grupo en particular de Telegram también anunció una versión maliciosa de la aplicación que afirmaba tener un servicio proxy gratuito fuera de China (ver Figura 2). Cuando descubrimos estos anuncios fraudulentos y los canales de YouTube relacionados, los informamos a Google, que los cerró todos de inmediato.

Figura 1. Diagrama de distribución

Figura 2. Aplicación de Telegram troyanizada ofrecida en el grupo de Telegram

A primera vista, puede parecer compleja la forma en que se distribuyen estas aplicaciones que se hacen pasar por legítimas. Sin embargo, es posible que con Telegram, WhatsApp y la aplicación Google Play bloqueadas en China, los usuarios de Android estén acostumbrados a pasar por varios obstáculos si quieren obtener aplicaciones que no están disponibles oficialmente. Los ciberdelincuentes son conscientes de esto y tratan de atrapar a sus víctimas desde el primer momento, cuando la víctima busca en Google una aplicación de WhatsApp o Telegram para descargar. Los atacantes compraron Google Ads (ver Figura 3) que redirigen a YouTube, lo que ayuda a los atacantes a llegar a la parte superior de los resultados de búsqueda y también evita que los sitios web falsos que utilizan sean marcados como estafas, ya que los anuncios se vinculan a un servicio legítimo que Google Ads presumiblemente lo considera muy confiable.

Figura 3. Anuncios desplegados al buscar Telegram para China

Los enlaces a los sitios web copia generalmente se pueden encontrar en la sección "Acerca de" de los canales de YouTube. Un ejemplo de tal descripción se puede ver en una traducción muy aproximada en la Figura 4.

Figura 4. Falso canal de e YouTube de WhatsApp dirige a las potenciales víctimas a un sitio web falso

Durante nuestra investigación, encontramos cientos de canales de YouTube que apuntan a docenas de sitios web falsos de Telegram y WhatsApp; algunos se pueden ver en la Figura 5. Estos sitios se hacen pasar por servicios legítimos (ver Figura 6) y ofrecen versiones de escritorio y móviles de la aplicación para descargar. Ninguna de las aplicaciones analizadas estaba disponible en la tienda Google Play.

Figura 5. Canales falsos disponibles en YouTube

Figura 6. Sitios web que se hacen pasar por Telegram y WhatsApp

Análisis

Encontramos varios tipos de código malicioso reempaquetados con aplicaciones legítimas de Telegram y WhatsApp. Si bien las aplicaciones analizadas surgieron más o menos al mismo tiempo utilizando un patrón muy similar, parece que no todas fueron desarrolladas por el mismo actor de amenazas. Además de que la mayoría de las aplicaciones maliciosas pueden reemplazar las direcciones de criptomonedas en las comunicaciones de Telegram y WhatsApp, no hay indicios de más conexiones entre ellas.

Si bien los sitios web falsos ofrecen enlaces de descarga para todos los sistemas operativos en los que están disponibles Telegram y WhatsApp, todos los enlaces para  Linux y macOS, así como la mayoría de los enlaces para iOS, redirigen a los sitios web oficiales de los servicios. En el caso de algunos pocos enlaces para iOS que conducen a sitios web fraudulentos, las aplicaciones ya no estaban disponibles para descargar en el momento de nuestro análisis, lo que sugiere que los usuarios de Windows y Android son los principales objetivos de estos ataques.

Troyanos para Android 

El objetivo principal de las aplicaciones para Android troyanizadas es interceptar los mensajes de chat de las víctimas y cambiar cualquier dirección de billetera de criptomonedas por otras pertenecientes a los atacantes, o filtrar información confidencial que permitiría a los atacantes robar los fondos de criptomonedas de las víctimas. Esta es la primera vez que vemos clippers que apuntan específicamente a apps de mensajería instantánea.

Para poder modificar los mensajes, los actores de amenazas tuvieron que analizar minuciosamente el código original de las aplicaciones de ambos servicios. Dado que Telegram es una aplicación de código abierto, los ciberdelincuentes solo tenían que insertar su propio código malicioso en una versión existente y compilarlo; en el caso de WhatsApp, sin embargo, el binario tuvo que ser modificado directamente y reempaquetado para agregar la funcionalidad maliciosa.

Observamos que al reemplazar las direcciones de las billeteras las aplicaciones troyanizadas para Telegram se comportan de manera diferente a las de WhatsApp. Una víctima que use la versión maliciosa de la aplicación de Telegram seguirá viendo la dirección original hasta que se reinicie la aplicación, después de lo cual la dirección mostrada será la que pertenece al atacante. Por el contrario, la propia dirección de la víctima se verá en los mensajes enviados si utiliza una versión troyanizada de WhatsApp, mientras que el destinatario del mensaje recibirá la dirección del atacante. Esto se muestra en la Figura 7.

Figura 7. Versión maliciosa de WhatsApp (izquierda) reemplazó la dirección de la billetera enviada en el mensaje para el destinatario (derecha)

Prevención y desinstalación

Android

Instale aplicaciones solo de fuentes confiables, como la tienda Google Play.

Si está compartiendo direcciones de billeteras de criptomonedas a través de la aplicación para Android de Telegram, verifique dos veces si la dirección que envió coincide con la dirección que se muestra después de reiniciar la aplicación. De lo contrario, advierta al destinatario que no use la dirección e intente eliminar el mensaje. Desafortunadamente, esta técnica no se puede aplicar a la versión troyanizada de WhatsApp para Android.

Tenga en cuenta que el consejo anterior no aplica para la versión troyanizada de Telegram, ya que el destinatario de la dirección de la billetera solo ve la billetera del atacante y no tendrá herramientas para saber si la dirección es genuina.

No almacene en su dispositivo imágenes o capturas de pantalla sin cifrar que contengan información confidencial, como frases mnemotécnicas, contraseñas y claves privadas.

Si cree que tiene en su dispositivo una versión troyanizada de Telegram o WhatsApp, elimínela manualmente de su dispositivo y descargue la aplicación desde Google Play o directamente desde el sitio web legítimo.

Windows

En caso de que estar seguro de si su instalador de Telegram es legítimo, verifique si la firma digital del archivo es válida y se emitió a Telegram FZ-LLC.

Si sospecha que su aplicación Telegram es maliciosa, le recomendamos que utilice una solución de seguridad para detectar la amenaza y eliminarla por usted. Incluso si no posee dicho software, aún puede usar el escáner online y gratuito de ESET.

La única versión oficial de WhatsApp para Windows está actualmente disponible en la tienda de Microsoft. Si instaló la aplicación desde cualquier otra fuente, le recomendamos que la elimine y luego escanee su dispositivo.

Conclusión

Durante nuestra investigación de las aplicaciones troyanizadas de Telegram y WhatsApp distribuidas a través de sitios web que se hacían pasar por legítimos, descubrimos las primeras instancias de clippers para Android que interceptan mensajes instantáneos e intercambian las direcciones de billetera de criptomonedas de las víctimas por la dirección del atacante. Además, algunos de los clippers abusaron del OCR para extraer las frases semilla de las imágenes almacenadas en los dispositivos de las víctimas, un uso malicioso de la tecnología de lectura de pantalla que vemos por primera vez.

También encontramos versiones para Windows de los clippers que cambian la dirección de una billetera, así como instaladores de Telegram y WhatsApp para Windows que contienen troyanos de acceso remoto. A través de sus diversos módulos, los RAT permiten a los atacantes controlar las máquinas de las víctimas.

Indicadores de Compromiso

Archivos

Red

Billetera de los atacantes

Técnicas de MITRE ATT&CK 

Esta tabla fue creada utilizando la versión 12 del framework de MITRE ATT&CK.

La siguiente tabla fue creada utilizando la versión 12 del framework de MITRE ATT&CK .