Archivos de etiquetas: JavaScript

Apps con cryptojacking y adware en Google Play

Los ciberdelincientes especializados en criptomonedas han cambiado su foco hacia los dispositivos móviles para minar criptomonedas, esto mediante aplicaciones infectadas.
Sophos llevó una investigación en conjunto con Cyber Threat Alliance para revisar la existencia de código de criptominado en apps móviles.
En octubre de 2018 hallaron 25 aplicaciones educativas, de juegos y servicios en Google Play que contenían código de criptominado. Al ejecutarse relizaban este proceso en segundo plano para ocultar a los usuarios el verdadero fin de estas apps.
La mayor parte de éstas incluyeron el código del malware de minado Coinhive, escrito originalmente en JavaScript para minar la criptomoneda Monero. Coinhive se especializa en realizar el criptominado utilizando la CPU, a diferencia de la mayoría de las aplicaciones de criptominado que utilizan los procesadores gráficos para esta labor.
Las apps de criptominado fueron prohibidas en Google Play, sin embargo, muchas pasan por los filtros previos a la publicación. La inclusión de código para estos fines es relativamente sencilla, con unas cuantas líneas de código y llamando a un proceso del motor del navegador integrado WebView.

Sin perjuicio de lo anteriormente expuesto, en la segunda semana de marzo de 2019, Google Play eliminó más de 200 aplicaciones de juegos y simuladores que contenían adware (malware de publicidad). Los usuarios afectados tienen que eliminar estas aplicaciones de forma manual.
El malware utilizado en esta campaña es SimBad, el cual muestra publicidad no deseada, además de acceder a datos personales y compartirlos a terceros. Junto con esto, SimBad tiene características de acceso remoto, por lo que puede “actualizarse” bajo demanda de los atacantes a cargo o inclusive, instalar un proceso de criptominado en segundo plano.
Las características de una infección por malware en móviles son:
Muestran anuncios fuera de las aplicaciones. Por ejemplo, cuando los usuarios desbloquean el teléfono o abren otras aplicacionesAbren constantemente tanto Google Play como 9Apps Store y redireccionan a otra aplicación con el objetivo de aumentar sus beneficios por la instalación de otras aplicacionesPara evitar ser desinstaladas, las aplicaciones esconden al launcher su icono de inicio de aplicaciónAbren un navegador con enlaces generados por el desarrollador de la aplicaciónDescargan archivos APK y piden al usuario que los instaleBúsqueda de palabras en Google Play propuestas por la aplicación
Para eliminar estas aplicaciones maliciosas instaladas en un dispositivo Android, es recomendado reiniciar el dispositivo en Modo Seguro, luego ejecutar un scan con antivirus como Sophos Mobile, y luego ingresar a Configuración para eliminar manualmente algún rastro de estas aplicaciones maliciosas, y finalmente reiniciar normalmente el dispositivo.
Las aplicaciones infectadas (recomendamos eliminarlas inmediatamente):
App – Package
Snow Heavy Excavator Simulator – com.heavy.excavator.simulator.driveandtransportHoverboard Racing – com.hoverboard.racing.speed.simulatorReal Tractor Farming Simulator – com.zg.real.tractor.farming.simulator.gameAmbulance Rescue Driving – com.ambulancerescue.driving.simulatorHeavy Mountain Bus Simulator 2018 – com.heavymountain.bus2018simulatorFire Truck Emergency Driver – com.firetruckemergency.driverFarming Tractor Real Harvest Simulator – com.farming.tractor.realharvest.simulatorCar Parking Challenge – com.carparking.challenge.parksimulatorSpeed Boat Jet Ski Racing – com.speedboat.jetski.racing.simulatorWater Surfing Car Stunt – com.watersurfing.carstunt.racing.simulatorOffroad Wood Transport Truck Driver 2018 – com.offroad.woodtransport.truckdriverVolumen booster & Equalizer – com.volumen.booster.equalizerPrado Parking Adventure – com.ks.prado.Car.parking.race.drive.appsOil Tanker Transport Truck Driver – com.zg.offroad.Oil.tanker.transporter.truck.cargo.simulatorMonster Truck Demolition – com.monstertruck.demolitionHummer taxi limo simulator – com.hummerlimotaxi.simulator.drivingExcavator Wrecking Ball Demolition Simulator – com.excavator.wreckingball.demolition.simulatorOffroad Gold Transport Truck Driver 2018 – com.offroad.gold.transport.truckSea Animals Truck Transport Simulator – com.sea.animals.trucktransport.simulatorWater Surfing Motorbike Stunt – com.water.surfingrace.motorbike.stuntPolice Chase – com.policechase.thiefpersecutionPolice Plane Transporter – com.police.plane.transporter.gameAmbulance Driver Extreme Rescue – com.ambulance.driver.extreme.rescue.simulatorHovercraft Racer – com.hovercraftracer.speedracing.boatCars Transport Truck Driver 2018 – com.cars.transport.truckdriver.simulatorMotorbike Pizza Delivery – com.motorbike.pizza.delivery.drivesimulatorHeavy Excavator – Stone Cutter Simulator – com.heavy.excavator.stonecutter.simulatorBottle shoot archery – com.bottle.shoot.archery.gameOffroad buggy car racing – com.offroadbuggy.car.racingsimulatorGarbage Truck – City trash cleaning simulator – com.garbagetruck.city.trash.cleaningsimulatorTanks Attack – com.tanks.attack.simulator.war.attackDinosaur Park – Train Rescue – com.dinosaurpark.trainrescuePirate Ship Boat Racing 3D – com.pirateshipboat.racing3d.simulatorFlying taxi simulator – com.flyingtaxi.simulator.raceJetpack Water – com.jetpackinwater.racersimualtor.dangerVolumen Booster – com.boostervolumen.amplifiersoundandvolumenAnimal Farming Simulator – com.farmgames.animal.farming.simulatorMonster Truck – com.monstertruck.racing.competition.simulatorOffroad jeep car racing – com.simulator.offroadjeep.car.racingFlying Car Stunts On Extreme Tracks – com.simulator.flyingcar.stunt.extremetracks.racingTractor Farming 2018 – com.simulator.tractorfarming.drivingImpossible Farming Transport Simulator – com.impossible.farming.transport.simulatorVolumen Booster – com.volumenbooster.equalizerboostMustang Rally Championship – com.mustang.rally.championship.racingsimulatorDeleted Photo Recovery – com.deleted.photo.recoverySpeed Boat Racing – com.race.boat.speedySuper Cycle Jungle Rider – com.cycle.bike.racing.gameMy name on Live Wallpaper – com.write.name.live.wallpaper.hdMagical Unicorn Dash – com.maginal.unicorn.gameSuper Cycle Jungle Rider – com.grafton.cycle.jungle.rider.raceLove Caller Screen – com.lovecallingapps.lovecaller.ScreenRacing Car Stunts On Impossible Tracks – com.city.car.funny.racing.stunt.game.proRacing Car Stunts On Impossible Tracks 2 – com.citycar.funny.racinggame.stunt.simulatorUrban Limo Taxi Simulator – com.urban.Limo.taxi.simulation.gamesTractor Farming Simulator – com.cg.heavy.tractor.simulator.gameCamper Van Driving – com.campervan.drivingsimulator.caravanBottle Shoot Sniper 3D – com.bootleshoot.sniperFull Screen Incoming Call – com.globalcoporation.fullscreenincomingcaller.appBeard mustache hairstyle changer Editor – com.mustache.beard.editorVolumen Booster – com.volumenbooster.increaservolumengirlfriend photo editor – com.photoeditor.girlfriend.addgirlstophoto.picMobile Number Tracker & Locator – com.tracker.location.number.free.spyGarden Photo Editor – com.garden.editor.appFortune Wheel – com.fortunewheel.gameFarming Transport Simulator 2018 – com.farming.transport.tractor.simulatorOffRoad Tractor Transport – com.offroad.tractor.transport.drivingsimulatormy name on live wallpaper – com.customwallpaper.mynameonlivewallpaperFlying Ambulance Emergency Rescue – com.flying.ambulance.emergency.rescue.simulatorMustang Driving Car Race – com.mustang.driving.car.raceWaterpark Car Racing – com.waterpark.carracing.simulatorImpossible Tracks – Extreme Trucks – com.impossibletrucks.extremetrucks.simulatorFlying Motorbike Stunts – com.extreme.flying.motorbike.stuntsimulatorFire Truck Emergency Rescue – Driving Simulator – com.emergency.firetruck.rescue.drivingsimulatorHeavy Snow Excavator Snowplow Simulator – com.snowplow.simulator.heavysnow.excavatorWater Skiing – com.waterskiing.simulator.gamesWomen Make Up and Hairstyle Photo Maker – com.photomaker.editor.women.makeupandhairstyleMountain Bus Simulator – com.fortune.mountainVan Pizza – com.vanpizza.truckdelivery.simulatorTruck Transport and Parking Simulator – com.truck.simulator.transportandparkingHoverboard Racing Spider Attack – com.hoverboard.racing.spider.attacksimulatorMotorsport Race Championship – com.moto.sport.championship.racingsimulatorDemolition Derby – com.demolitionderby.simulatorLove Caller with love ringtones – com.lovecaller.free.loveringtonesHouse Transport Truck – Moving Van Simulator – com.house.transport.truck.movingvan.simulatorHeavy Excavator Stone Driller Simulator – com.heavy.excavator.simulator.stonedrillerSuper Cycle Downhill Rider – com.cycle.downhill.gameExtreme Rally Championship – com.extreme.rallychampionship.raceMissile Attack Army Truck – com.missileattack.army.truckCaller Location & Mobile Location Tracker – com.mobile.caller.location.tracker.freecallMobile number locator – com.mobilenumberlocator.trackerMy name on Live Wallpaper – com.mynameonlivewallpaper.animated.hdCity Metro Bus Pk Driver Simulator 2017 – com.spk.coach.offroad.School.bus.mountain.freeFull Screen Incoming Call – com.fullscreen.incomingcaller.appMan Casual Shirt Photo Suit – com.allsuit.man.casualshirt.photo.editorAmerican muscle car race – com.americanmuscle.car.raceOffroad Nuclear Waste Transport – Truck Driver – com.offroad.nuclearwastetransport.truckdriverMad Cars Fury Racing – com.madcars.fury.racing.driving.simulatorHigh Wheeler Speed Race – com.high.wheeler.speed.race.championshipNumber Coloring – com.colorbynumber.number.coloring.paint.gameCamper Van Race Driving Simulator 2018 – com.campervan.race.driving.simulator.gameUnicorn Float – Speed Race – com.unicornfloat.speedrace.simulatorDual Screen Browser – com.dualscreenbrowserHarvest Timber Simulator – com.harvest.timber.simulatorandtransportHot Micro Racers – com.racingsimulator.hot.micro.racersLara Unicorn Dash – com.lara.unicorn.dash.magical.raider.raceWingsuit Simulator – com.wingsuit.simulator.extremeFood Truck Driving Simulator – com.foodtruck.driving.simulatorDog Race Simulator – com.dograce.competitionSUV car – parking simulator – com.suvcar.parking.simulator.gamePhone Finder – com.clap.phonefinder.locatorPhone number locator – com.phonenumerlocator.findphonenumbersGallery Lock – com.whatsapplock.gallerylock.ninexsoftech.lockSecret screen recorder – com.secret.screenrecorder.screenshotrecordFace Beauty Makeup – com.facebeauty.makeupChristmas letters to santa and three wise man – com.write.your.christmas.letter.santa.threewisemenDeleted Files recovery – com.deletedfiles.photo.audio.video.recoveryDual Screen Browser – com.screndualbrowserdouble.app.androidBroken Screen – Cracked Screen – com.crack.mobile.screen.prankGarden Photo Editor – photoeditor.Garden.photoframeModi Photo Frame 2 – com.modiphotoframe.editorLove Caller Screen – com.callerscreen.lovecallerAnti Theft & Full Battery Alarm – com.antitheftalarm.fullbatteryalarm.soundLove Caller Screen 2 – com.lovecaller.screen.customVoice reading for SMS. Whatsapp & text sms – com.sms.message.voice.readingName on Pic-Name art – com.photo.text.editor.nameonpicSpeed Boat Racing – com.mtsfreegames.SpeedboatracingTrain Driving Simulator – com.simulator.traindrivingSuper Cycle Rider – com.grafton.Cycle.jungle.riderRacing Horse Championship 3D – com.gl.racinghorse.competitionMove App To SD Card 2016 – moveapptosd.tosdcard.freeappPop Toy Creator – com.avatarmaker.poptoy.creatorPhoto Live Wallpaper – com.myphoto.live.wallpaper.editorMagical Unicorn Dash – com.messenger2.play.game.UnicorndashkTruck Wheel of Death – com.truck.wheelofdeathLive Translator – com.livetranslator.translateinliveVolume Control Widget – com.volumecontrol.widget.volumeboosterWorld cup 2018 football shirt maker – com.worldcup2018football.shirt.maker.photoeditorGirlfriend Photo Editor 2 – com.girlfriendphotoeditor.girlsinyourphotoMy Photo on Music Player – com.myphoto.on.musicplayer.freetaxi – com.taxidriving.simulatorgame.raceGarden Photo Editor – com.garden.photoeditor.photoframeFortune Wheel Deluxe – com.fortunewheel.deluxeExtreme Motorcycle Racer – com.motorcycle.extremeracing.simulatorOffroad Snow Bike – Christmas Racing – com.offroad.snow.bike.christmas.racingBottle Shoot – com.Droidhermes.bottleninjaPhoto Background Changer 2017 – com.Hadiikhiya.photochangebackgroundOffroad Christmas Tree Transport – com.offroad.christmas.treetransport.truck.driversimulatorTank Transport Army Truck – com.tank.transport.armytruck.simulatorFlag face paint: World Cup 2018 – com.flagteams.facepaint.editor.world2018cupWorld Cup 2018 Teams Flags Live Wallpaper – com.russianworld2018cup.livewallpaper.flagsteamSelfie Camera – com.editor.selfie.camera.photoMissile Attack Army Truck – com.desirepk.Offroad.transport.simulator.appsMax Player – massimo.Vidlan.maxplayerFlash Alert – Flash on Call – com.flashalerts.callandsmsPhoto Video Maker with Music – com.photovideo.maker.withmusicBrain Games & IQ Test – com.braingames.iqtest.skillsAudio Video Mixer – com.mix.audio.and.videoPop Toy Creator 2 – com.poptoy.creator.edityourpoptoyFlash on Call and SMS – com.flashalert.callandsmsHeart Photo Frames – com.photoframe.of.heartShayari 2017 – com.shayari.hindi.status.photo.textPhoto on Birthday Cake – com.happy.photo.birthday.cakeNature Photo Frames – com.photoeditor.nature.photoframesCalendar 2018 Photo Frame – com.photoframe.calendar2018editorChristmas Truck Transport Simulator – com.christmas.truck.transportsimulator.gameModern Santa – Christmas van drive – com.christmas.vandrive.modern.santaChange your voice – com.anbrothers.voicechanger.appMoster vs Water – com.monsters.vs.water.duelEDIT Flowers Photo Frames – com.flowers.editor.photo.framePhoto Video Maker with Music – videoeditor.musicvideo.Phototovideomaker.videoeditorToilet Paper Race – com.racing.games.toiletpaper.raceDog Crazy Race Simulator – com.Zv.puppiesdog.racegameLuxury Photo Frame – com.luxury.photo.frame.photo.editorBike Wheel of Death – com.bike.wheelofdeathWorld Famous Photo Frames – com.qbesoft.worldfamousphotoframes.appHeavy Snow Excavator Christmas Rescue – com.heavysnowexcavator.christmas.rescueDeleted Files Recovery – com.syor.deleted.photo.recovery.video.restoreFootball Results & Stats Analyzer – com.footballanalyzer.resultsandstats3D Photo Frame Cube Live Wallpaper – com.photoframe.cube3d.live.wallpaper.hdGreen Hill PhotoFrame – com.photoframe.geenhillChristmas Magic Board – com.christmas.magnetic.magicboard.drawandwriteAnimal Parts Photo Editor – com.animalspart.photo.editorDSLR Camera Blur – com.camera.blur.photoeffectsCar Photo Frame – com.quick.photo.frame.carphotoframeHands Slap Game – com.game.handsslap.manitascalientes.redhands4D Maa Durga Live Wallpaper – com.maa.durga.live.wallpaperMen Sweatshirt Photo Editor – com.photomontage.men.sweatshirt.editorConnect Letters. Words Game – com.wordsgame.connectlettersRecover Deleted Pictures – lanas.recover.deleted.pictures.photosCustom Radio Alarm Clock – com.customized.radio.alarm.clockAnti-spam Calls – com.antispamcalls.blockspamcallerCompatibility Test – com.compatibilitytest.friends.couplesDual Screen Browser – com.dualscreen.android.app.doubleMagic Glow Live Wallpaper – com.magic.glow.livewallpaper.animatedwallpaperPorgy Virtual Pet – com.game.virtualpet.porgyTap the Ball – com.explosiongame.taptheballClock Live Wallpaper – com.analog.digital.clock.live.wallpaperRoyale Stats – com.royalestas.informationFire text photo frame – com.editor.firetext.photo.frameChristmas greetings card – editor.card.greetings.christmas.com.christmasgreetingscardBest App Lock – com.bestappsco.bestapplock.freeDJ Photo Frames – com.DJ.photoframe.editorAuto Call redial – com.autocall.redial.automatic.recallGuess the picture – com.picquiz.guess.picture.gameProfesionalRecorder – com.professionalrecorder.audio.call.record
Fuentes:

Formjacking: Un lucrativo ataque en aumento

En el último informe sobre ciberamenazas publicado por Symantec (ISTR), existe una amenaza en crecimiento llamada “Formjacking”, la cual actualmente es una de las formas de ataque más lucrativas para los ciberdelincuentes debido al relativo bajo esfuerzo que conlleva realizar junto con el alto valor y demanda en el mercado negro del activo robado: tarjetas de crédito. Su nivel de expansión en amenazas ha reemplazado al ransomware como WannaCry o Petya/NotPetya (gracias en parte a la baja en la cotización de las criptomonedas, sobretodo el BitCoin), por lo que es necesario aumentar el foco en la prevensión y detección de este tipo de ataques.
Formjacking consiste en una analogía a lo que hoy conocemos como skimming, o robo de tarjetas bancarias en cajeros automáticos, sólo que es mucho más simple, directo, y seguro para los criminales. Aunque este tipo de ataques no es nuevo, su rápido crecimiento en el ultimo semestre motivo de alerta para las organizaciones que ofrecen pagos en sus sitios, o sea todo el e-commerce.
Opera de la siguiente manera: El atacante logra inyectar código JavaScript en la lógica del formulario de pago objetivo, una vez de que el cliente envíe la información de pago, este código malicioso recoge toda la información entregada para el pago, luego la envía al repositorio del atacante y a la vez al flujo original de pago. Con esto el pago se realiza pero los datos a la vez son recogidos por el atacante, para su posterior venta en el mercado negro y utilización en estafas. Los datos recogidos pueden contener: Nombre completo, dirección, teléfono, correo, banco, número de tarjeta, fecha de caducidad, código de seguridad, etc.
Aumento de campañas
La actividad de campañas de formjacking presenta un aumento exponencial desde finales de agosto de 2018, registrando un aumento de hasta 4 veces más bloqueos en comparación a la media de meses anteriores. En números esto es sobre 6.000 bloqueos diarios en promedio para sólo 1 proveedor de IPS.

Objetivos
Este ataque ya es conocido por grandes e-commerce como Ticketmaster, British Airways y Newegg (retailer de tecnología).
Una muestra de 1.000 instancias de bloqueo de este ataque, recogidas en una ventana de 3 dias, muestra como objetivos a 57 sitios web distintos, desde pequeños e-commerce hasta grandes negocios. Geográficamente abarca desde Japón hasta Latinoamérica, pasando por Australia y Europa.
Magecart
Es el grupo de cibercriminales que se encuentra detrás de los recientes ataques de formjacking hacia British Airways, Ticketmaster, Feedify y Newegg. Magecart se encuentra activo desde al menos el año 2015. Su operación implica la inyección de skimmers web en sitios para robar datos de pago junto con otra información sensible relacionada a los pagos via web.
Método de compromiso de sitios web
Aunque existen diversas formas de ejecución de este ataque, llama la atención el caso de Ticketmaster, en el cual los atacantes de Magecart utilizaron un ataque a la cadena de suministro para obtener acceso al sitio web y de esta forma manipular el código de su página de pagos.
Los ataques de cadena de suministro son aquellos en los que se obtiene acceso a grandes organizaciones al explotar debilidades en sus proveedores de menor tamaño.
El aumento en la cantidad de ataques de formjacking fue evidenciado luego del ataque a Ticketmaster, reportado en junio de 2018. Los atacantes de Magecart en un comienzo comprometieron un chatbot de Inbenta que estaba siendo utilizado para asistencia al cliente en los sitios de Ticketmaster. Luego Magecart pudo alterar el código JavaScript en el sitio de Ticketmaster para de esta forma capturar los datos de pago con tarjeta de sus clientes y posteriormente enviarlos a sus propios servidores. Este código malicioso pudo estar en el sitio web de Ticketmaster por casi un año, los afectados serían los clientes internacionales de Ticketmaster que realizaron compras entre septiembre de 2017 y septiembre de 2018. Inbenta indicó que Magecart explotó varias vulnerabilidades para apuntar a sus servidores de front-end y alterar el código del chatbot.
Siguiendo el caso de Ticketmaster se descubrió que Magecart ha estado atacando proveedores de sitios e-commerce, los que proveen analítica, soporte, plugins, entre otros. El reporte indica que al menos 800 sitios de e-commerce fueron atacados en esta campaña. El mayor peligro es que si Magecart puede comprometer un proveedor ampliamente usado, entonces podrían infectar potencialmente miles de sitios rápidamente.
Protección
A nivel de red, existen firmas de IPS para distintos fabricantes.
A nivel de archivos, existen firmas para el código “Infostealer”.
A nivel de aplicación, realizar pruebas controladas cuando un proveedor actualice un plugin que se utilice en e-commerce.
Monitorear la actividad del sistema por exfiltración de datos hacia destinos inusuales.
Monitorear cambios en el código del aplicativo.
Fuentes: