El nuevo descubrimiento de la pieza de malware se presenta en forma de aplicación que, una vez ejecutada mostrará al usuario un mensaje que pareciera ser una aplicación que generará un token para sesiones de banca en línea. La aplicación generadora de tokens puede ser personalizada para varios bancos Europeos y usa los logos y colores asociados a cada banco. El malware, toma entonces diferentes piezas de información del teléfono comprometido, y lo envía a un servidor remoto. 

 

"Para obtener el token falso, el usuario debe introducir el primer factor de autenticación (usado para obtener el acceso inicial a la cuenta bancaria). Si esta acción no se realiza, la aplicación muestra un error. Cuando el usuario hace clic en "Generar", el malware muestra un falso token (el cual es un número aleatorio) y envía la contraseña a un número celular junto con el identificador del dispositivo (IMEI o IMSI). La misma información es también enviada a uno de los servidores junto con otros datos como el número telefónico del dispositivo", escribió Carlos Castillo de McAffe en un análisis de la amenaza.

 

 

El archivo original que contiene el malware, también contiene una lista de servidores a los cuales puede conectarse, así como un número telefónico donde envía los datos del teléfono comprometido vía mensajes SMS. El malware crea un servicio para escuchar comandos del servidor control. Los comandos incluyen la instalación de una nueva lista de servidores o peticiones para que el malware obtenga y envíe todos los contactos del teléfono comprometido. 

 

Mucho del malware que plaga computadoras de escritorio hoy en día, está diseñado para realizar algún tipo de fraude financiero, phishing u otra amenaza. Los investigadores habían dicho que se esperaba que estos comportamientos migraran a los dispositivos móviles. 

 

"Malware en Android, donde los objetivos son entidades financieras, se encuentran en constante evolución: desde ataques de hombre en medio en un inicio, hasta ataques más sofisticados, troyanos bancarios controlados remotamente que pueden obtener más de un factor de autenticación y actualizarse a sí mismos, por ejemplo, modificando un ataque de phishing para obtener credenciales necesarias en la autenticación como el nombre o número de identificación de un usuario para realizar un fraude electrónico. Debido a la creciente popularidad de Android y las aplicaciones móviles bancarias, esperamos que más amenazas como ésta aparezcan", escribió Castillo.