El ataque se basa en el servicio MediaProjection de Android. Esta herramienta permite grabar sonido o hacer pantallazos con el permiso del usuario. El nuevo ataque usa una táctica de pantalla falsa para engañarle y que dé su consentimiento sin saberlo.
Cómo funciona y cómo protegrese:
Esto es lo que nos cuentan desde Check Point:
Cómo
funciona la vulnerabilidad
A
diferencia de otras solicitudes de permiso en Android, como el acceso
a contactos o ubicación, el servicio MediaProjection no tiene una
ventana de permiso dedicada para pedir el permiso. En su lugar,
cuando una aplicación intenta utilizarlo, aparece un mensaje
diferente, llamada ventana emergente SystemUI.
Los
investigadores de Check Point descubrieron que mediante una
aplicación los ciberdelincuentes pueden detectar cuando está a
punto de aparecer esta ventana, mostrar un mensaje falso superpuesto
al de SystemUI, y persuadir al usuario para que conceda el
consentimiento sin saberlo.
Una
vez que se ha engañado a la víctima, puede grabar la pantalla y el
audio del dispositivo, convirtiéndolo en la herramienta de espionaje
definitiva. El ataque no es completamente encubierto, ya que en la
barra de notificación aparece una alerta de la actividad de
grabación, pero es probable que la mayoría de los usuarios no lo
relacionen con una amenaza.
La
segunda parte del ataque consiste en una táctica de superposición
de pantalla, a menudo llamada "clickjacking", que es un
método muy común utilizado por el malware móvil, especialmente el
malware bancario y el ransomware. Si bien Google ha hecho un esfuerzo
significativo para acabar con esta táctica, sigue siendo una manera
exitosa de engañar a los usuarios y obtener sus credenciales.
Cómo
permanecer protegido
Para
protegerse tanto del ataque descubierto recientemente como del amplio
panorama de malware móvil, los usuarios y las empresas deben
utilizar medidas
de seguridad avanzadas capaces de detectar y bloquear cualquier
intento de mostrar una ventana falsa o llevar a cabo cualquier
actividad maliciosa mediante el análisis dinámico y la
determinación del contexto de la actividad.
