España figura en la lista de objetivos bancarios. También lo están Polonia, Alemania, Francia, los Países Bajos, el Reino Unido, Chequia, Eslovaquia, Austria y los países bálticos. El centro de gravedad es Ucrania: bancos, aplicaciones gubernamentales y de identificación electrónica, aplicaciones de mensajería, incluidas las destinadas al ámbito militar. Se trata de Europa en su conjunto, no de una curiosidad de un solo país. 169 identificadores de paquetes: bancos, pagos, carteras y plataformas de intercambio de criptomonedas, autenticadores, navegadores, correo electrónico.
Qué hace en el dispositivo
Accesibilidad más acceso a las notificaciones, y lo demás viene por añadidura. Un registrador de teclas de la interfaz de usuario que etiqueta lo que graba: entradas en la pantalla de bloqueo, posibles frases de recuperación, códigos SMS de cuatro a seis dígitos, contraseñas. «pinPadOverlay» se superpone al teclado real de una aplicación bancaria y copia las pulsaciones; no muestra un banco falso. autoEnterPin prueba un PIN o patrón almacenado en la propia pantalla de bloqueo de Android. WebRTC proporciona al operador una vista en directo y control remoto. Las versiones de julio incorporan una protección contra el análisis más sólida, carga de DEX en memoria, phishing de códigos de bloqueo secretos y ocultan el implante del lanzador.
La cronología de ThreatFabric es: primero la infraestructura en febrero, la producción en marzo-abril, el primer envoltorio oculto a finales de mayo y un segundo panel en julio. La distribución, por lo que pueden ver, se realiza mediante envoltorios y droppers, no mediante una campaña de tienda con nombre propio.
La red
Los archivos robados y los resultados de los comandos se cifran con AES-GCM y se ponen en cola en el teléfono. A continuación, Manic busca pares: primero Wi-Fi Direct, luego Bluetooth RFCOMM y BLE GATT. Si el dispositivo cercano tiene una ruta hacia el C2, el paquete se transmite. Límite predeterminado: cuatro saltos. Sacar la tarjeta SIM o desactivar los datos móviles no interrumpe la ruta si hay otro dispositivo infectado dentro del alcance de la señal. Ese es el objetivo.
No hay un recuento público de víctimas en España. No se ha atribuido a ningún grupo concreto. No hay ningún volcado de datos. ThreatFabric no afirma que haya afectado a la Play Store; la ruta exacta de la primera infección sigue sin estar clara. El hecho relevante es el relé: un teléfono sin conexión que sigue comunicándose, a través del Android comprometido de otra persona, con quienes lo instalaron.
