Los investigadores de Cyfirma han identificado el troyano bancario BankBot-YNRK, que apunta a dispositivos con Android 13 y versiones anteriores. El malware aprovecha las vulnerabilidades de los servicios de accesibilidad para obtener permisos elevados sin el consentimiento explícito del usuario. Se centra en robar credenciales bancarias y acceder a carteras de criptomonedas.
El código malicioso inicia análisis ambientales poco después de la instalación. Detecta emuladores para evitar el análisis de zona de pruebas. Luego identifica modelos de fabricantes como Samsung, Oppo y Google. Esta adaptación permite ataques personalizados.
- Comprueba el entorno real o emulado.
- Identifica fabricante y modelo específicos.
- Personaliza el código para una mayor efectividad.
Mecanismos de persistencia y encubrimiento de malware
BankBot-YNRK desactiva las notificaciones de las aplicaciones instaladas. Silencia la configuración de sonido para funcionar sin alertas.
El troyano altera el JobScheduler de Android. Esta modificación garantiza el arranque automático del sistema. Mantiene conexión constante con el servidor de comando y control.
Los delincuentes envían comandos remotos a través de C2. Simulan tonos de llamada e instalan APK adicionales. El malware filtra contactos, SMS y ubicación del dispositivo.
Exploración de accesibilidad para privilegios administrativos
El recomando OPEN_ACCESSIBILITYDirige al usuario a la pantalla de configuración. El malware solicita la activación de los servicios de accesibilidad.
Una vez obtenidos los privilegios, abre periódicamente aplicaciones bancarias. Captura pantallas con datos confidenciales en pantalla.
El troyano intenta obtener frases iniciales de carteras criptográficas. Evita interacciones con la biometría para minimizar la detección. Se producen transacciones no autorizadas si no se configuran los datos biométricos.
Sin biometría activa, el riesgo de robo aumenta significativamente. El malware realiza transferencias directamente.
Capacidades remotas extendidas de BankBot-YNRK
El malware gestiona las instalaciones y desinstalaciones de APK. Actualiza y abre aplicaciones cuando se le ordena.
Interactúa con la interfaz simulando gestos y toques. Desbloquea la pantalla y navega por los menús del sistema.
- Reenviar llamadas y enviar SMS.
- Captura fotografías y oculta ventanas flotantes.
- Insertar texto en los campos del formulario.
- Administra descargas y ejecuciones de archivos.
BankBot-YNRK se presenta como una aplicación del gobierno indio. Esta táctica pasa por alto las comprobaciones iniciales de las instalaciones de APK.
Aparece en paquetes específicos como com.westpacb4a.payqingynrk1b4a. Otros incluyen com.westpacf78.payqingynrk1f78.
Medidas de prevención contra troyanos bancarios
Instale aplicaciones únicamente desde Google Play Store. Evite fuentes desconocidas para reducir la exposición a APK maliciosos.
Habilite la verificación en dos pasos en cuentas financieras. Configure datos biométricos en billeteras digitales para bloquear el acceso no autorizado.
Mantén tu sistema Android actualizado con parches de seguridad. Utilice antivirus confiables para escanear regularmente el dispositivo.
