La nueva generación de ataques con software espía
Análisis de ataques avanzados de software espía
Ataques sofisticados de software espía.
Las herramientas de mensajería móvil cifradas permiten el intercambio seguro de datos para agencias gubernamentales y empresas privadas. Sin embargo, en lugar de intentar romper estas defensas digitales, los atacantes han encontrado una solución: ingeniería social dirigida combinada con spyware comercial.
Los ciberdelincuentes están utilizando códigos QR maliciosos, exploits de cero clic y suplantación de aplicaciones para acceder a plataformas de mensajería segura y robar datos protegidos.
La venganza del Exploit
Como señala la alerta CISA, los atacantes no intentan controlar aplicaciones seguras como Signal y WhatsApp. En cambio, quieren acompañar el viaje y escuchar conversaciones cruciales. Las investigaciones sugieren que los principales objetivos incluyen funcionarios actuales y anteriores del gobierno, militares y políticos, junto con individuos de alto valor en Estados Unidos, Europa y Medio Oriente.
El escuchar mensajes de rango militar o escuchar comunicaciones del servicio civil puede proporcionar datos valiosos para agencias de reconocimiento de estados o un pago sustancial para atacantes maliciosos.
Phishing mediante la implementación de códigos QR
Los atacantes crean campañas de phishing dirigidas que convencen a los usuarios para que hagan clic en enlaces maliciosos o escaneen códigos QR. Estos códigos comprometen cuentas de usuario y las vinculan a dispositivos propiedad de atacantes. ¿El resultado? Los atacantes pueden rastrear y monitorizar todas las conversaciones a través de aplicaciones de mensajería segura, y utilizar el acceso a los dispositivos para instalar malware, Ransomware o amenazas persistentes avanzadas (APTs).
Exploits con “Zero Clic”
El phishing y métodos de ataque similares dependen de la acción del usuario: las víctimas deben hacer clic en un enlace, escanear un código o enviar un mensaje. Los exploits de cero clic, por su parte, ocurren automáticamente una vez que se cumplen condiciones específicas. Consideremos el spyware LADNFALL, que aprovecha la vulnerabilidad zero-day en la biblioteca de procesamiento de imágenes de Android de Samsung.
Te describimos un poco como funciona; Los atacantes envían una imagen “Digital Negative” (DNG) malformada con un archivo ZIP incrustado a través de WhatsApp. Una vez recibida, la imagen se envía y procesa sin ninguna intervención de los usuarios, lo que lleva al despliegue de spyware de grado comercial en el dispositivo.
Suplantación de aplicación
Los atacantes también están utilizando aplicaciones para infectar dispositivos con spyware. El ejemplo más claro es ClayRat, que utiliza tanto Telegram, como sitios web aparentemente legítimos para ofrecer “actualizaciones” o parches de aplicaciones, que en realidad son payloads de spyware. Utilizando el gestor de SMS por defecto en Android OS, ClayRat obtiene acceso a SMS, registros de llamadas y notificaciones, y también puede ejecutar comandos remotos para tomar fotos, realizar llamadas, enviar mensajes SMS masivos y extraer datos.
Una vez que los actores malintencionados acceden a aplicaciones seguras, utilizan software espía comercial para interceptar conversaciones. La amplia disponibilidad de este software espía es un reto.
Empresa como WhatsApp de Meta, están presentando demandas contra los creadores de spyware, el mercado es simplemente demasiado grande para controlarlo.
Las nuevas amenazas NFC
El aumento de infecciones por software espía comercial también ha generado amenazas de “toque-y-robar” relacionadas con la comunicación de campo cercano (NFC).
Primero, los atacantes infectan los dispositivos objetivo y recogen datos clave. Con esta información, despliegan malware que pasa desapercibido y permite la instalación de malware que apunta a sistemas operativos móviles y permisos de aplicaciones.
Desde la perspectiva del usuario, las compras NFC parecen normales: hacen el toque, pagan y siguen con su día. En realidad, el malware instalado ha secuestrado la transacción al permitir que el chip NFC instalado actúe como uno de los extremos de un relé. El otro extremo es un segundo dispositivo controlado por el atacante situado a kilómetros de distancia. Esto permite a los ciberdelincuentes eludir el beneficio defensivo central del NFC: la distancia.
Normalmente, las transacciones NFC se limitan a 10 cm o menos. Al convertir los dispositivos del usuario en un relé, los atacantes eliminan este control de seguridad sin activar acciones defensivas. Para los CIO y CISOs encargados de gestionar flotas de dispositivos móviles, esto crea un doble golpe: mensajes secuestrados acompañados de compras fraudulentas difíciles de rastrear y más difíciles de detener.
Gestión de los mensajes contradictorios
Para las redes corporativas, estos ataques de software espía representan una amenaza silenciosa pero persistente. Si los atacantes pueden acceder a aplicaciones de mensajería seguras o comprometer redes NFC, las empresas pueden ver cómo se roban datos IP o se mueven dinero de forma fraudulenta.
Adoptando un enfoque de mensajería de confianza cero
Aunque la guía CISA sugiere el uso de servicios de mensajería cifrados, también advierte contra confiar implícitamente en estas aplicaciones. Para evitar posibles compromisos, los usuarios deben verificar la autenticidad de cualquier invitación de grupo, mantener la desconfianza ante cualquier mensaje de alerta de seguridad inesperado y reportar toda actividad sospechosa a través de los canales de soporte de la aplicación.
Alejándose de SMS
La guía también recomienda alejarse de los SMS, especialmente para la autenticación Multifactor. Como el SMS no está cifrado, los mensajes MFA pueden ser leídos por atacantes, quienes a su vez podrían usar códigos de un solo uso para acceder a dispositivos e instalar spyware.
Configurar un PIN de Telco
Como señala CISA, muchos proveedores de telecomunicaciones permiten a los administradores establecer PINs o códigos de acceso adicionales para las cuentas de telefonía móvil, y deben proporcionarse antes de que los usuarios puedan realizar acciones sensibles, como instalar nuevo software o portar un número de teléfono.
¿En conclusión? Las aplicaciones de mensajería cifrada solo son efectivas si las empresas saben exactamente quién está escuchando. Con el aumento de sofisticados ataques de spyware y NFC, las empresas deben priorizar operaciones de confianza cero que reduzcan la dependencia de SMS y requieran verificaciones adicionales para autorizar acciones críticas.
