{"id":205325,"date":"2024-11-25T05:02:07","date_gmt":"2024-11-25T13:02:07","guid":{"rendered":"https:\/\/www.mcafee.com\/blogs\/?p=205325"},"modified":"2024-11-25T08:35:45","modified_gmt":"2024-11-25T16:35:45","slug":"spyloan-una-amenaza-global-que-abusa-de-la-ingenieria-social","status":"publish","type":"post","link":"https:\/\/www.mcafee.com\/blogs\/es-es\/other-blogs\/mcafee-labs\/spyloan-una-amenaza-global-que-abusa-de-la-ingenieria-social\/","title":{"rendered":"SpyLoan: Una Amenaza Global Que Abusa de la Ingenier\u00eda Social"},"content":{"rendered":"
Escrito por: Fernando Ruiz<\/p>\n
El equipo de investigaci\u00f3n para m\u00f3viles de McAfee ha descubierto un significante aumento de la amenaza SpyLoan, tambi\u00e9n conocida como aplicaciones de prestamos predatorios o prestamos gota a gota (en Latinoam\u00e9rica). Estas aplicaciones potencialmente indeseadas (PUP por sus siglas en ingl\u00e9s, Potencial unwanted progam) usan t\u00e1cticas de ingenier\u00eda social para enga\u00f1ar a los usuarios para entregar informaci\u00f3n sensible y obtener amplios permisos en las aplicaciones, lo que conlleva a extorsi\u00f3n, acoso y perdida de dinero.<\/p>\n
Durante nuestra investigaci\u00f3n identificamos quince aplicaciones que combinadas tienen al menos ocho millones de instalaciones. Este grupo de aplicaciones SpyLoan comparten un framework que les permite encriptar el trafico y exfiltrar datos desde el dispositivo de la victima a un servidor de comando y control (C2) que utiliza una infraestructura similar para los puntos de acceso de las API HTTP (endpoints). Ellos operan localizados en territorios espec\u00edficos, principalmente en Sudam\u00e9rica, sudeste asi\u00e1tico y \u00c1frica con algunos de ellos utilizando avisos pagados en redes sociales.<\/p>\n
McAfee es miembro de la App Defense Alliance que se enfoca en proteger a los usuarios, evitando que amenazas lleguen a sus dispositivos y mejorando la calidad de las aplicaciones en el ecosistema. Nosotros reportamos las aplicaciones que descubrimos a Google, quien a notificado a los desarrolladores que sus apps violan las pol\u00edticas de Google Play y que deben ser corregidas para cumplir con la norma. Algunas aplicaciones han sido suspendidas de Google Play mientras que otras fueron actualizadas por los desarrolladores.<\/p>\n
McAfee Mobile Security detecta todas estas aplicaciones como Android\/PUP.SpyLoan en base a nuestra pol\u00edtica de PUP a pesar que algunas aplicaciones han sido actualizadas para reducir el numero de permisos requeridos y limitar la recolecci\u00f3n de datos sensibles, estas siguen siendo un riesgo para la privacidad de los usuarios debido al riesgo de que practicas poco \u00e9ticas sean realizadas por los operadores de estas aplicaciones de cr\u00e9dito que no est\u00e1n licencias o registradas para operar ante las autoridades que regulan los servicios financieros en cada jurisdicci\u00f3n en que operan.<\/p>\n
<\/p>\nFigura 1: Ejemplos de aplicaciones SpyLoan distribuidas en Google Play<\/figcaption><\/figure>\n
Desde 2020 SpyLoan ha tenido una presencia consistente en el escenario de amenazas. Sin embargo, nuestra telemetr\u00eda indica un r\u00e1pido aumento en su actividad reciente: Desde finales de Q2 a fines de Q3 2024 el numero de aplicaciones SpyLoan detectado y el n\u00famero de dispositivos \u00fanicos infectados ha aumentado sobre un 75%.<\/p>\n
Entendiendo la amenaza<\/strong><\/h2>\n
\u00bfQue son las aplicaciones SpyLoan?<\/strong><\/h3>\n
SpyLoan son aplicaciones financieras intrusivas que enga\u00f1an con promesas de pr\u00e9stamos r\u00e1pidos y flexibles, usualmente ofreciendo bajas tasas y m\u00ednimos requisitos. Mientras que parecen entregar un valor genuino la realidad es que estas aplicaciones principalmente existen para conseguir tanta informaci\u00f3n personal como sea posible, la que luego abusan para acosar y extorsionar usuarios para pagar altos intereses. Ellos utilizan t\u00e1cticas cuestionables como marketing enga\u00f1oso que destaca ofertas temporales con cuentas regresivas, creando un falso sentido de urgencia para presionar a los usuarios in tomar decisiones apresuradas. Finalmente, en vez de entregar asistencia financiera genuina, estas apps conducen a los usuarios a un ciclo de deuda y violaciones de su privacidad.<\/p>\n
Mientras que el comportamiento especifico de cada aplicaci\u00f3n puede variar de pa\u00eds en pa\u00eds, estas aplicaciones comparten caracter\u00edsticas comunes tanto en el c\u00f3digo de las aplicaciones como tambi\u00e9n con la infraestructura con la que interact\u00faan:<\/p>\n
\n
Distribuci\u00f3n en tiendas oficiales<\/strong>: A pesar de violar sus pol\u00edticas estas aplicaciones frecuentemente logran pasar los controles y quedan disponibles en plataformas como Google Play haciendo que parezcan confiables.<\/li>\n<\/ul>\n
\n
Marketing Enga\u00f1oso<\/strong>: Ellos pueden usar nombres, logos e interfaces de usuarios que pueden simular a entidades financieras legitimas para ganar credibilidad. Con frecuencia estas apps son promocionadas por avisos de pago en redes sociales.<\/li>\n<\/ul>\n
<\/p>\nFigura 2: Publicidad de una aplicaci\u00f3n SpyLoan<\/figcaption><\/figure>\n
\n
Flujo de usuario similar: <\/strong>Luego de la primera ejecuci\u00f3n aparece una pol\u00edtica de privacidad con los detalles de que informaci\u00f3n ser\u00e1 recolectada, luego una cuenta regresiva crea la sensaci\u00f3n de urgencia para aplicar la oferta del cr\u00e9dito y el n\u00famero de tel\u00e9fono del usuario con el c\u00f3digo de pa\u00eds de prefijo del territorio donde opera esta variante de SpyLoan es requerido, preguntar por un c\u00f3digo de un solo uso (OTP) v\u00eda SMS sirve para autentificar al usuario y validar que su tel\u00e9fono esta dentro del territorio en que SpyLoan est\u00e1 operando.<\/li>\n<\/ul>\n
Las aplicaciones SpyLoan son consistentes en el proceso de registro e inicializaci\u00f3n. La barra de navegaci\u00f3n y las acciones que estas aplicaciones permiten son muy similares, pero pueden tener colores o gr\u00e1ficos diferentes, sin embargo sus caracter\u00edsticas y funciones son las mismas en diferentes idiomas dependiendo de la regi\u00f3n.<\/p>\n
<\/div>\n
Figura 3: Ejemplo de dos t\u00e9rminos de privacidad en diferentes SpyLoan, una dirigida a Indonesia \u201cKreditKu-Uang Online\u201d y la otra a M\u00e9xico: \u201cPr\u00e9stamo Seguro-R\u00e1pido, Seguro\u201d.<\/span><\/div>\n
Ambas aplicaciones tienen en com\u00fan un framework con el que comparten la interfaz de usuario, flujo de uso y librar\u00edas de encriptaci\u00f3n utilizads para comunicarse con la infraestructura del servidor de comando y control (C2), mientras que los operadores apuntan a diferentes regiones e idiomas.<\/p>\n
\u00a0<\/strong><\/p>\n
\n
Acuerdos de privacidad:<\/strong> Estas aplicaciones tienen t\u00e9rminos similares, pero no iguales, en general ellos describen y justifican la recolecci\u00f3n de datos sensibles para garantizar la identificaci\u00f3n de los usuarios y evitar fraudes.\n
\n
Ellos requieren que los usuarios acepten los t\u00e9rminos para recolectar informaci\u00f3n excesiva que puede ser abusada que instituciones de cr\u00e9dito formales no pedir\u00edan, como acceso al contenido de los mensajes de texto (SMS), registro de llamadas y lista de contactos.<\/li>\n
La informaci\u00f3n de contacto de la organizaci\u00f3n financiera que otorga el cr\u00e9dito es de un correo asociado a un servicio gratuito como @gmail.com o @outlook.com, similar a un correo personal, una instituci\u00f3n legal, formal utilizar\u00eda su dominio corporativo.<\/li>\n
Los sitios webs que contienen los t\u00e9rminos de privacidad en estas variantes de SpyLoan est\u00e1n construidos con un mismo javascript web-framework para cargar din\u00e1micamente los contenidos, que no est\u00e1n en texto directamente en HTML.<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n
\n
Solicitud de permisos excesivos:<\/strong> Luego de la instalaci\u00f3n, estas aplicaciones solicitan permisos que son innecesarios para una aplicaci\u00f3n de cr\u00e9dito formal, como por ejemplo, acceso a los contactos, SMS, almacenamiento, calendario, registro de llamadas, micr\u00f3fono e incluso c\u00e1mara.<\/li>\n<\/ul>\n
Permisos comunes en aplicaciones SpyLoan<\/p>\n
\n
permission.CAMERA<\/li>\n
permission.READ_CALL_LOG<\/li>\n
permission.READ_PHONE_STATE<\/li>\n
permission.ACCESS_COARSE_LOCATION<\/li>\n
permission.READ_SMS<\/li>\n<\/ul>\n
Dependiendo de la implementaci\u00f3n y m\u00e9todos de distribuci\u00f3n ellos pueden incluir permisos m\u00e1s sensibles que estos.<\/p>\n
\n
Ofertas atractivas: Prometiendo cr\u00e9ditos r\u00e1pidos con requerimientos m\u00ednimos para atraer usuarios con necesitadas financieras urgentes una cuenta regresiva puede aparecer al inicio:<\/li>\n<\/ul>\n
<\/center><\/p>\nFigura 4: Tres aplicaciones diferentes, de diferentes desarrolladores ofreciendo el mismo tipo de cuenta regresiva con la misma oferta: \u201c85% de posibilidades de \u00e9xito para obtener el cr\u00e9dito\u201d en diferentes idiomas.<\/figcaption><\/figure>\n
Verificaci\u00f3n v\u00eda OTP: <\/strong>Para completar el registro un numero de tel\u00e9fono con el prefijo del pa\u00eds objetivo es requerido para validar que el usuario esta en el territorio, recibiendo un c\u00f3digo OTP para proceder al registro v\u00eda SMS<\/p>\n
Recolecci\u00f3n de datos: <\/strong>Los usuarios son dirigidos a un formulario para completar con datos sensibles e identificaciones legales, bancaria y de empleo junto con los datos del dispositivo que son enviados desde el tel\u00e9fono de la v\u00edctima hasta el servidor de los operadores.<\/p>\n
Analysis de la Exfiltracion de datos<\/strong><\/h2>\n
El grupo de aplicaciones SpyLoan reportados en este blog pertenece a una variante identificada por McAfee como Android\/PUP.SpyLoan.DE que transmite la informaci\u00f3n recolectada a un servidor de comando y control usando encriptaci\u00f3n AES (Advanced encryption standard) con una llave de 128bits que luego es codificada en base64, en algunos casos un padding es agregado para as\u00ed esconder la informaci\u00f3n extra\u00edda del dispositivo.<\/p>\n
La clave de encriptaci\u00f3n y vector de inicializaci\u00f3n est\u00e1n disponibles dentro del c\u00f3digo ofuscado de la aplicaci\u00f3n,<\/p>\n
<\/p>\nFigure 5: Encryption key and IV hardcoded in SpyLoan variant.<\/figcaption><\/figure>\n
SpyLoan usa esta misma rutina de encriptacion para esconder textos sensibles en los recursos XML de la aplicaci\u00f3n que se usan para exfiltrar datos, por ejemplo:<\/p>\n
Esta string se utiliza para construir una URI de contenido que permite el acceso a los mensajes SMS que se implementa para extraer campos como fecha, direcci\u00f3n (remitente\/destinatario), cuerpo del mensaje, estado, etc. y formatos en JSON que luego se cifrar\u00e1n nuevamente para enviarse al C2.<\/p>\n
<\/p>\nFigura 6: Secci\u00f3n de c\u00f3digo que filtra todos los mensajes SMS del dispositivo de la v\u00edctima.<\/figcaption><\/figure>\n
Datos exfiltrados son subidos al C2 por HTTPS post en un objeto JSON que es encriptado. Las URL de los endpoits usados para recibir los datos comparten una estructura de URL similar entre las diferentes versiones. Ellos usan el siguiente esquema de URL que puede ser descrito por la siguiente expresi\u00f3n regular:<\/p>\n
Usando la misma t\u00e9cnica y los mismos m\u00e9todos de ofuscaci\u00f3n SpyLoan esconde en su c\u00f3digo la habilitad para extraer grandes sumas de datos de los tel\u00e9fonos de sus v\u00edctimas, incluyendo:<\/p>\n
\n
Registros de llamadas<\/strong>: Recopila datos del registro de llamadas del dispositivo si se otorgan permisos<\/li>\n<\/ul>\n
\n
\n
\n
N\u00famero<\/strong>: El n\u00famero de tel\u00e9fono del llamante<\/li>\n
Tipo<\/strong>: Tipo de llamada (entrante, saliente, perdida)<\/li>\n
Duraci\u00f3n<\/strong>: La duraci\u00f3n de la llamada<\/li>\n
Fecha<\/strong>: La marca de tiempo de la llamada<\/li>\n
Nombre<\/strong>: El nombre del contacto (si est\u00e1 disponible)<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n
\n
Archivos en el directorio de descargas con metadatos<\/strong>:\n
\n
nombre del archivo, extensi\u00f3n, tama\u00f1o del archivo, marca de tiempo de la \u00faltima modificaci\u00f3n<\/li>\n<\/ul>\n<\/li>\n
Todas las cuentas en el dispositivo:<\/strong>\n
\n
Correos electr\u00f3nicos y cuentas de redes sociales.<\/li>\n<\/ul>\n<\/li>\n
Informaci\u00f3n sobre todas las aplicaciones instaladas<\/strong><\/li>\n
Otra informaci\u00f3n diversa recopilada<\/strong>:\n
\n
Informaci\u00f3n del dispositivo y de la red:<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n
\n
\n
\n
ID de suscriptor<\/li>\n
Informaci\u00f3n DNS<\/li>\n
ID del dispositivo (IMEI)<\/li>\n
Direcci\u00f3n MAC<\/li>\n
C\u00f3digo de pa\u00eds<\/li>\n
Nombre del operador de la red<\/li>\n
Idioma<\/li>\n
Tipo de red (Wi-Fi, 4G, 3G, etc.)<\/li>\n
N\u00famero de tel\u00e9fono<\/li>\n
Informaci\u00f3n local (c\u00f3digo de pa\u00eds, idioma de la interfaz)<\/li>\n
Zona horaria<\/li>\n
Ajustes de desarrollo (habilitar o deshabilitar)<\/li>\n
Tipo de tel\u00e9fono (GSM, CDMA)<\/li>\n
Tiempo real transcurrido (el tiempo transcurrido desde que el dispositivo fue iniciado)<\/li>\n
Configuraci\u00f3n del proxy<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n
\n
Informaci\u00f3n de la SIM:<\/li>\n<\/ul>\n
\n
\n
\n
C\u00f3digo ISO del pa\u00eds de la SIM<\/li>\n
N\u00famero de serie de la SIM (ICCID)<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n
\n
Ubicaci\u00f3n<\/strong>:<\/li>\n<\/ul>\n
\n
\n
\n
Permiso<\/strong>: Verifica si tiene acceso a ACCESS_COARSE_LOCATION<\/li>\n
Proveedor de ubicaci\u00f3n<\/strong>: Verifica si el GPS o la ubicaci\u00f3n de la red est\u00e1n disponibles<\/li>\n
\u00daltima ubicaci\u00f3n conocida<\/strong>: Latitud o longitud<\/li>\n
Informaci\u00f3n de geocodificaci\u00f3n<\/strong> (convierte latitud y longitud en una direcci\u00f3n estructurada):\n
\n
Nombre del pa\u00eds<\/li>\n
\u00c1rea administrativa<\/li>\n
Ciudad<\/li>\n
Calle<\/li>\n
L\u00ednea de direcci\u00f3n<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n
\n
Configuraci\u00f3n del dispositivo<\/strong>:<\/li>\n<\/ul>\n
\n
\n
\n
N\u00famero de im\u00e1genes<\/strong>: Cuenta la cantidad de archivos de im\u00e1genes en el almacenamiento externo<\/li>\n
Modo de prueba<\/strong>: Informa si el dispositivo est\u00e1 en modo de prueba<\/li>\n
Configuraci\u00f3n del teclado<\/strong><\/li>\n
Hora actual<\/strong><\/li>\n
Indicador de servicios de accesibilidad habilitados<\/strong><\/li>\n<\/ul>\n<\/li>\n<\/ul>\n
\n
Ajustes del sistema operativo<\/strong>:<\/li>\n<\/ul>\n
\n
\n
\n
Detalles de la versi\u00f3n de Android<\/strong> (versi\u00f3n, nivel de SDK, huella digital, ID, versi\u00f3n de construcci\u00f3n)<\/li>\n
Informaci\u00f3n del hardware<\/strong> (nombre del dispositivo, nombre del producto, modelo del dispositivo, detalles del hardware, marca del dispositivo, informaci\u00f3n de la placa, n\u00famero de serie del dispositivo)<\/li>\n
Configuraci\u00f3n del sistema<\/strong> (versi\u00f3n del cargador de arranque, host de construcci\u00f3n, usuario de construcci\u00f3n, informaci\u00f3n de la CPU)<\/li>\n
Red<\/strong> (versi\u00f3n de radio, tipo de sistema, etiquetas de construcci\u00f3n)<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n
\n
Informaci\u00f3n de almacenamiento<\/strong>:<\/li>\n<\/ul>\n
\n
\n
\n
Ruta del almacenamiento externo, tama\u00f1o<\/strong><\/li>\n
Informaci\u00f3n de la memoria<\/strong>: RAM total, RAM disponible<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n
\n
Datos de sensores<\/strong> Datos de sensores como aceler\u00f3metros, giroscopios, magnet\u00f3metros si est\u00e1n disponibles en el dispositivo afectado. Esta informaci\u00f3n incluye:<\/li>\n<\/ul>\n
\n
\n
\n
Tipo de sensor, nombre del sensor, versi\u00f3n, fabricante, rango m\u00e1ximo, retardo m\u00ednimo, consumo de energ\u00eda, resoluci\u00f3n. \nLos datos de sensores pueden usarse para la huella digital del dispositivo y el monitoreo del comportamiento del usuario.<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n
\n
Informaci\u00f3n de la bater\u00eda<\/strong>:<\/li>\n<\/ul>\n
\n
\n
\n
Nivel de bater\u00eda<\/strong><\/li>\n
Estado de la bater\u00eda<\/strong>: Indica si el dispositivo est\u00e1 conectado a la corriente<\/li>\n
Otros metadatos de la bater\u00eda<\/strong>: salud, si est\u00e1 presente, voltaje, tecnolog\u00eda de la bater\u00eda, tipo, etc.<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n
Experiencia de las victimas<\/strong><\/h2>\n
Usuarios han reportando alarmantes experiencias como:<\/p>\n
\n
Recibir llamadas amenazantes y amenazas de muerte por pagos retrasados.<\/li>\n
Tener fotos personales y documentos de identificaci\u00f3n mal utilizados para intimidarlos.<\/li>\n
La aplicaci\u00f3n accede a sus contactos para enviar mensajes de acoso a amigos y familiares.<\/li>\n<\/ul>\n
Algunos comentarios en Google Play:<\/p>\n
<\/p>\nFigura 6: Secci\u00f3n de c\u00f3digo que filtra todos los mensajes SMS del Figura 7: Comentarios de usuarios de SpyLoan Apps<\/figcaption><\/figure>\n
El impacto global de SpyLoan<\/strong><\/h2>\n
<\/p>\nFigura 8: Prevalencia de SpyLoan en el mundo<\/figcaption><\/figure>\n
Estas amenazas no se limitan a una sola regi\u00f3n; se han reportado a nivel mundial con adaptaciones localizadas. Las actividades de aplicaciones de pr\u00e9stamos gota a gota han sido identificadas en todo el mundo, no solo limitadas a las variantes t\u00e9cnicamente descritas en esta publicaci\u00f3n. Los siguientes incidentes pueden proporcionar un contexto m\u00e1s amplio del impacto de esta amenaza:<\/p>\n
![\"\"](\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2024\/11\/figure-1-3.png\")
<\/p>\n![\"\"](\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2024\/11\/figure-2-2.png\")
<\/p>\n![\"\"](\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2024\/11\/figure-3-2.png\")
<\/div>\nFigura 3: Ejemplo de dos t\u00e9rminos de privacidad en diferentes SpyLoan, una dirigida a Indonesia \u201cKreditKu-Uang Online\u201d y la otra a M\u00e9xico: \u201cPr\u00e9stamo Seguro-R\u00e1pido, Seguro\u201d.<\/span><\/div>\n![\"\"](\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2024\/11\/figure-4-2.png\")
<\/center><\/p>\n![\"\"](\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2024\/11\/figure-5-2.png\")
<\/p>\n![\"\"](\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2024\/11\/figure-6-2.png\")
<\/p>\n![\"\"](\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2024\/11\/figure-7-2.png\")
<\/p>\n![\"\"](\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2024\/11\/figure-9-2.png\")
<\/p>\n