Se descubre un método de phishing diseñado específicamente para usuarios de Android e iOS
Los expertos de la empresa de ciberseguridad ESET analizado campañas de phishing que combinan técnicas tradicionales con el uso de la tecnologías especializadas de iOS y Androiderespectivamente, para instalar aplicaciones bancarias maliciosas sin el consentimiento del usuario.
- Los expertos aún no han detectado que esta técnica de fraude se haya aplicado a Usuarios mexicanos.
¡Los ataques de phishing apuntan a usuarios de iOS y Android!
Una técnica de Suplantación de identidad (phishing)conocido como En la naturalezaInstalar un aplicación bancaria maliciosa de un sitio web de terceros sin que el usuario tenga nada que decir al respecto. Una acción de este tipo vulnera los derechos de los usuarios iOS.
En el caso de AndroideEsta misma técnica podría conducir a la instalación silenciosa de un tipo especial de APK que parece estar instalado desde el Tienda Google Play.
¿Cómo funciona la campaña dirigida a iOS y Android?
El sitios web de Suplantación de identidad (phishing) Dirigido a iOS Instruya a las víctimas para que agreguen una Aplicación web progresiva (PWA) a tus pantallas de inicio.
En el caso de Androide el PWA Se instala después de confirmar la ventanas emergentes personalizado en el navegador.
- El PWA Son sitios web integrados en lo que parece ser un aplicación independienteun sentimiento que se refuerza con el uso de anuncios nativos del sistema. Al ser multiplataforma, estos campañas de Suplantación de identidad (phishing) Pueden dirigirse tanto a usuarios de iOS a partir de Androide.
En este punto, en ambos sistemas operativos, estos aplicaciones de Suplantación de identidad (phishing) Son prácticamente indistinguibles de los aplicaciones bancarias Los verdaderos que imitan.
Esta técnica fue revelada por primera vez en Polonia en julio de 2023 y, en noviembre de 2023, se observó en República Checa por analistas de ESET que trabajó en el servicio de Brand Intelligence.
“También observamos dos casos de campañas móviles contra bancos fuera de checoa: un caso dirigido al banco húngaro Banco OTP y otro dirigido al banco georgiano Banco TBC“, dicen los expertos.
¡No caigas en la trampa! El informe detallado de estos ataques
Para atacar a los usuarios de iOS y Android en estos campañas de Suplantación de identidad (phishing)Se utilizan tres mecanismos para distribuir la sitios web de phishing:
- Llamadas de voz automatizadasAdvierte al usuario sobre una aplicación bancaria obsoleta. Se le pide al usuario que seleccione un número en el teclado y, al presionarlo, se envía una URL de phishing por SMS.
- Fueron enviados Mensajes SMS indiscriminadamente a números checos. Incluía un enlace de phishing y un texto de ingeniería social para engañar a las víctimas y hacer clic en el enlace.
- Publicidad maliciosa en redes sociales Al igual que Instagram y Facebook, incluyeron un llamado a la acción, como una oferta limitada para descargar una actualización.
Fuente: ESET
Después de abrir el URLLas víctimas de Android se enfrentan a un Página de phishing que imita la página oficial de Google Play para la aplicación bancaria de destino o un sitio web que imita la aplicación.
Es posible que la campaña que utiliza imágenes de Google Play modificarse a sí mismo en función del agente de usuario recibido para imitar imágenes de Tienda AppleAunque no fue confirmado.
A continuación, se pide a las víctimas que creen una “rehacer» del aplicación bancariasegún el informe de ESET lanzado el martes 20 de agosto.
Al hacer clic en el botón de instalación/actualización se instala una aplicación maliciosa directamente en el teléfono de la víctima, ya sea en forma de WebAPK (solo para usuarios de Android), o como PWA para usuarios de iOS y Android.
Este paso crucial de instalación evita las advertencias tradicionales del navegador de “instalar aplicaciones desconocidas“.
Después de la instalación, se les pide a las víctimas que ingresen su credenciales bancarias Para acceder a su cuenta a través de la nueva aplicación banca móvilEstos datos serán robados y utilizados en detrimento de la víctima.