Nuevo malware ladrón de cookies en Android tiene como objetivo robar cuentas de Facebook


Las Cookies son pequeñas piezas de información que son utilizadas por los sitios web para diferenciar de un usuario de otro, así como rastrear las sesiones a través de diferentes sitios web, colocar servicios de contenido personalizado, y para distribuir cadenas de anuncios especializados para el usuario objetivo.

Recientemente un grupo de expertos ha encontrado un nuevo malware, que busca robar las cookies de autenticación de los usuarios de los exploradores web y otras aplicaciones, como Chrome y Facebook, instalados en dispositivos comprometidos. El malware nombrado “CookieThief” por los investigadores, es de tipo troyano, donde al lograr entrar en el dispositivo, trabaja para adquirir derechos de raíz como superusuario, y subsecuentemente, tomar las cookies, con la finalidad de ser transferidas a un servidor de comando y control (C2) remoto, operado por los atacantes

Los investigadores destacan que esta abusiva técnica no es posible por una vulnerabilidad en la aplicación de Facebook o en el navegador. El Malware puede robar los archivos de cookies de cualquier sitio web o de otras aplicaciones de la misma manera y lograr los mismos resultados.

Entre las funciones de las cookies está el permitir que en un dispositivo pueda permanecer conectado a un servicio sin tener que iniciar sesión repetidamente, CookieThief tiene como objetivo explotar este comportamiento, para permitir al atacante obtener acceso no autorizado a las cuentas de las víctimas, sin necesidad de conocer sus contraseñas de cuentas en línea reales. Los investigadores dicen que de esa manera, un cibercriminal puede armarse con una Cookie para hacerse pasar por una víctima desprevenida y utilizar la cuenta del usuario para beneficio personal.

El troyano puede aterrizar de diferentes maneras a un sistema, ya sea por medio de un aprovechamiento de una vulnerabilidad, una instalación de un archivo malicioso, entre otros. 

El nombre del paquete del malware CookieThief es “com.lob.roblox”, que es similar al cliente de juegos Roblox para Android (com.roblox.client), mas no tiene nada en común.

Características Maliciosas de CookieThief


Una vez el dispositivo está infectado, el malware conecta hacia una puerta trasera llamada “Bood”, localizada en “/system/bin/.bood”, lanzando un servidor local que ejecuta los comandos recibidos por CookieThief como superusuario.

Los expertos encontraron que en el servidor de comando y control (C2) una página que ofrece servicios de publicidad para distribuir spam en redes sociales y en mensajerías de texto, lo que no les dificulto adivinar el motivo detrás de las operaciones del malware.

Más el troyano tiene un método para burlar la seguridad establecida, por ejemplo, Facebook posee características de seguridad que detectan actividad anormal de un usuario, como detectar una conexión  que nunca ha iniciado sesión con la cuenta de dicho usuario anteriormente desde una IP, dispositivo o navegador, de dar dicha situación, la cuenta puede ser bloqueada. Para evitarlo los investigadores también encontraron otra aplicación maliciosa instalada en los dispositivos con CookieThief, con código similar y el mismo C2, llamado “Trojan-Proxy,AndroidOS.Youzicheng”, el cual permite usar el dispositivo de la víctima como servidor proxy, permitiendo evadir dichas características de seguridad. Al combinar estos dos ataques, el cibercriminal puede obtener el control sobre las cuentas de las víctimas sin levantar sospechas de Facebook.

Actualmente la amenaza está en etapa temprana, donde apenas ha comenzado a propagarse, según la data de los expertos, hay solo 1000 usuarios afectados, pero dicha cifra puede seguir creciendo.




Indicadores de Compromiso (IOCs)


Hash (MD5)

com.lob.roblox 
65a92baefd41eb8c1a9df6c266992730
f84a43b008a25ba2ba1060b33daf14a5
c9c252362fd759742ea9766a769dbabe

org.rabbit
c907d74ace51cec7cb53b0c8720063e1

Bood
8312e7c626cac368f0bd79c9c8da5bd7


Comando y Control (C2)
api-resource.youzicheng[.]net
api-rssocks[.]youzicheng[.]net
http[:]//guard[.]yoboxtool[.]com[:]8099
http[:]//zh[.]yomobi[.]net[:]8080




Fuente:

COMENTARIOS

Nombre

Actualización,3,Actualizaciones,4,Adobe,2,Adware,3,AgentTesla,1,android,31,Antivirus,3,Apache,1,APP,1,Apple,16,Apps,13,APT,1,Arkavia Networks,15,asus,1,Ataques,7,Azure,2,Backdoor,5,Bancos,6,Barracuda,1,Bases de Datos,6,BCE,1,Bluetooth,1,bootHole,1,Botnet,6,Botnet. Malware,1,Check Point,3,Chips,1,Chrome,3,Ciberataque,4,Cibercrimen,135,Ciberdelincuencia,9,ciberseguridad,141,Cisco,3,Citrix,5,Cloud,2,CMS,1,ComRAT,1,Comunicaciones,1,Consejos,1,CONVID,1,CookieThief,1,Coronavirus,1,COVID19,2,CPU,3,Criptomonedas,7,CSP,1,CTF,1,cyber day,2,Cyberwarfare,5,Dark Web,2,Data Breach,3,Data Leak,11,Database,2,Datos,2,DDoS,4,Deep Web,5,dlink,1,DNS,1,Domains,1,DoS,1,Ecommerce,3,elasticsearch,1,Email,2,Emotet,2,Empresas,113,enrutadores,1,Estadisticas,1,evento,1,Eventos,6,Evilnum,1,Exchange,2,exploit,7,Exploits,11,Extensiones,2,Extensions,2,F5 Networks,1,Facebook,9,Falla,1,Fintech,1,Firewall,1,Firmware,2,Flash,1,Framework,1,Freta,1,GARMIN,2,Glueball,1,Gmail,3,GoDaddy,1,google,34,GPS,2,GRUB2,1,Hacking,83,Hardware,7,Hosting,3,HTML5,1,HTTP,1,IBM,1,IGMP,1,Industria,10,Infostealer,2,Instagram,2,Intel,2,Internacional,40,Internet,34,Investigacion,9,IOC,1,ios,5,IoT,4,ipad,1,iphone,1,ISO,1,Joomla,1,LG,1,Linux,9,LSASS,1,Macromedia,1,Malware,45,Malwares,32,Maze,1,Messenger,1,MFA,1,Microsoft,37,Mirai,2,Monero,1,mongoDB,1,MSP,1,MSSQL,1,Mukashi,1,Nacional,10,NAS,2,Negocios,2,Netgear,1,Node.js,1,Openwrt,1,Oracle,2,OS,9,Passwordless,1,Payload,2,Paypal,1,phishing,16,Plugins,1,PoC,2,Protocolos,12,Python,2,QNAP,1,QR,1,Ragnar_Locker,1,Ransomware,18,RAT,2,RCE,2,RDP,3,Recomendaciones,16,Redes,30,redes sociales,12,Redhat,1,Remoto,1,Rookit,1,Rootkit,1,Routers,3,RRSS,2,Salt,1,Salud,2,SeguridadTI,1,Servicios,6,Smartphones,29,SMB,5,Software,23,Sophos,1,Spambot,1,Spamhaus,1,Spyware,11,SQL,1,SSL,1,Teams,1,TeamViewer,1,Tplink,1,Trickbot,1,Trojan,2,Troyano,3,Update,5,updates,22,USB,1,Videoconferencia,1,VNC,1,VPN,3,Vulnerabilidad,34,Vulnerabilidades,76,Web,8,WhatsApp,5,wifi,5,Windows,19,Wordpress,4,Xerox,1,XG,1,Yahoo,1,zeroday,3,Zoom,3,Zoombombing,1,
ltr
item
Arkavia Networks News: Nuevo malware ladrón de cookies en Android tiene como objetivo robar cuentas de Facebook
Nuevo malware ladrón de cookies en Android tiene como objetivo robar cuentas de Facebook
https://1.bp.blogspot.com/-_bHbS2cvWvk/XmvuqWWEeNI/AAAAAAAAB5g/nLpUbhIFc98boMYYNne_6JkjbSohFxsRQCLcBGAsYHQ/s640/CookiesThief%2Bin%2BAndroid%2Bfor%2BFacebook.jpg
https://1.bp.blogspot.com/-_bHbS2cvWvk/XmvuqWWEeNI/AAAAAAAAB5g/nLpUbhIFc98boMYYNne_6JkjbSohFxsRQCLcBGAsYHQ/s72-c/CookiesThief%2Bin%2BAndroid%2Bfor%2BFacebook.jpg
Arkavia Networks News
https://www.arkalabs.cl/2020/03/nuevo-malware-ladron-de-cookies-en.html
https://www.arkalabs.cl/
https://www.arkalabs.cl/
https://www.arkalabs.cl/2020/03/nuevo-malware-ladron-de-cookies-en.html
true
7213111567211435179
UTF-8
Se han cargado todas las publicaciones No se ha encontrado ninguna publicación. Ver Todos Leer Noticia Responder Cancelar Respuesta Eliminar Por Inicio PÁGINAS ENTRADAS View All RECOMENDADO PARA TI ETIQUETA ARCHIVOS BUSQUEDA TODAS LAS ENTRADAS No se ha encontrado ninguna coincidencia de publicación con su solicitud. Volver al Inicio Sunday Monday Tuesday Wednesday Thursday Friday Saturday Sun Mon Tue Wed Thu Fri Sat January February March April May June July August September October November December Jan Feb Mar Apr May Jun Jul Aug Sep Oct Nov Dec just now 1 minute ago $$1$$ minutes ago 1 hour ago $$1$$ hours ago Yesterday $$1$$ days ago $$1$$ weeks ago more than 5 weeks ago Followers Follow THIS PREMIUM CONTENT IS LOCKED STEP 1: Share. STEP 2: Click the link you shared to unlock Copy All Code Select All Code All codes were copied to your clipboard Can not copy the codes / texts, please press [CTRL]+[C] (or CMD+C with Mac) to copy