La amenaza de malware sobre dispositivos móviles se va acrecentando. Los primeros troyanos que encontrábamos no eran muy sofisticados, y no llegaban a representar un gran riesgo para el usuario. Sin embargo, cada día aumenta más el malware producido para estos dispositivos y el daño que pueden hacer, en cantidad y peligrosidad.

Marcher (análisis) no es un troyano nuevo pero por su incidencia y los riesgos que representa merece ser tenido en cuenta. Este malware para Android es capaz de robar credenciales del usuario, así como obtener datos del dispositivo, interceptar SMS... Un kit completo. Además, cuenta con la posibilidad de monitorizar las APKs que están instaladas y activarse cuando detecta el uso de determinadas aplicaciones.

En anteriores ocasiones, ha estado dirigido a entidades americanas, alemanas, británicas, rusas... Pero esta vez se encarga de atacar a entidades latinoamericanas, incluyendo países como México, Argentina, Colombia o Perú.

Para lograr infectar a los usuarios, se camufla bajo una falsa actualización de Flash Player: La lista de permisos que podemos encontrar es amplia, pero entre ella se incluyen el leer contactos, enviar SMS y recibirlos, además de poder realizar llamadas y escribir en la configuración.
Entre las aplicaciones afectadas, se encuentran:

• ar.com.santander.rio.mbanking (Santander Río)
• br.com.bb.android (Banco do Brasil)
• cl.santander.smartphone (Banca Personas)
• co.com.bbva.mb (BBVA Colombia)
• com.bancodebogota.bancamovil (Banco de Bogotá)
• com.bancomer.mbanking (Bancomer móvil)
• com.bapro.movil (Banco Provincia)
• com.bbva.nxt_argentina (BBVA Francés | Banca Móvil AR)
• com.bbva.nxt_peru (BBVA Continental - Banca Móvil)
• com.bcp.bank.bcp (Banca Móvil BCP)
• com.citibanamex.banamexmobile (Citibanamex Móvil)
• com.grupoavalav1.bancamovil (AV Villas App)
• com.itau (Banco Itaú)
• com.mosync.app_Banco_Galicia (Banco Galicia)
• com.santander.app (Santander Brasil)
• com.todo1.davivienda.mobileapp (Davivienda Móvil)
• com.todo1.mobile (Bancolombia App Personas)
• mx.bancosantander.supermovil (Supermóvil)
• org.banelco (Banelco MÓVIL)
• org.microemu.android.model.common.VTUserApplicationLINKMB (Link Celular)
• pe.com.interbank.mobilebanking (Interbank APP)
• se.accumulate.me.core.androidclient.csb (Bancoomeva Móvil)
• se.accumulate.me.core.androidclient.occidente (Banco de Occidente B.P)
• com.westernunion.moneytransferr3app.eu (Western Union International)

Otras aplicaciones:

• com.instagram.android (Instagram)
• com.android.vending (Play Store)
• com.facebook.katana (Facebook)
• com.skype.raider (Skype)
• com.viber.voip (Viber)
• com.whatsapp (WhatsApp Messenger)
• com.google.android.gm (Gmail)
• com.amazon.mShop.android.shopping (Amazon Shopping)

La muestra en cuestión se puede observar a continuación en nuestra plataforma Koodous: https://koodous.com/apks/c20318ac7331110e13206cdea2e7e2d1a7f3b250004c256b49a83cc1aa02d233

Como es habitual recordamos extremar la precaución, especialmente en los dispositivos móviles, donde con frecuencia tendemos a levantar nuestras defensas. El sentido común suele ser una buena defensa, comprobar los permisos que pide la aplicación cuando se instala y por si falla nuestra intuición disponer de algún software de seguridad. Nuestra propuesta pasa por la instalación de Koodous, un antivirus ideado por y para la comunidad.

Fuente: Hispasec