Software espía ClayRat
Una campaña de spyware para Android en rápida evolución, conocida como ClayRat, se ha convertido en una amenaza significativa para los usuarios, especialmente en Rusia. Los atacantes explotan una combinación de canales de Telegram y sitios web de phishing similares, suplantando la identidad de aplicaciones populares como WhatsApp, Google Photos, TikTok y YouTube para incitar a las víctimas a instalar el malware.
Tabla de contenido
Cómo se propaga ClayRat
La cadena de ataque comienza cuando usuarios desprevenidos son redirigidos a sitios web fraudulentos que enlazan a canales de Telegram controlados por los atacantes. En este caso, las víctimas son engañadas para que descarguen archivos APK maliciosos mediante:
- Número de descargas inflado artificialmente
- Testimonios inventados que afirman la popularidad de la aplicación
Algunos sitios maliciosos se hacen pasar por ofrecer versiones mejoradas de aplicaciones populares, como YouTube Plus, y alojan archivos APK diseñados para eludir las medidas de seguridad en dispositivos que ejecutan Android 13 y versiones posteriores.
Ciertas muestras de ClayRat funcionan como droppers, presentando una aplicación ligera con una pantalla de actualización falsa de Play Store. La carga útil real está cifrada y oculta dentro de los recursos de la aplicación, lo que permite al malware eludir las restricciones de la plataforma y aumentar las tasas de éxito de la instalación.
Capacidades maliciosas
Una vez instalado, ClayRat activa una serie de funcionalidades intrusivas:
- Extrae mensajes SMS, registros de llamadas, notificaciones e información del dispositivo.
- Captura fotografías usando la cámara frontal
- Envía mensajes SMS o realiza llamadas directamente desde el dispositivo infectado
- Recopila una lista de todas las aplicaciones instaladas y la envía al servidor de Comando y Control (C2)
El malware también se propaga agresivamente enviando enlaces maliciosos a todos los contactos de la libreta telefónica de la víctima, convirtiendo efectivamente los dispositivos comprometidos en nodos de distribución automatizados.
Sofisticación técnica
Investigadores de seguridad han observado más de 600 muestras y 50 droppers de ClayRat en los últimos 90 días. Cada nueva iteración añade capas de ofuscación, lo que dificulta la detección.
La comunicación con la infraestructura C2 se basa en protocolos HTTP estándar, y el malware solicita a los usuarios que la configuren como aplicación de SMS predeterminada para acceder a contenido confidencial y funciones de mensajería. Estas capacidades permiten a los atacantes realizar vigilancia y ampliar el alcance del malware sin intervención manual.
Medidas de protección
A pesar de su potencia, ClayRat se ve mitigado por Google Play Protect, que está habilitado por defecto en dispositivos con los Servicios de Google Play. Play Protect protege automáticamente a los usuarios de las versiones conocidas del malware.
ClayRat representa una doble amenaza: espía a sus víctimas y, al mismo tiempo, convierte sus dispositivos en herramientas para la propagación de malware. Su combinación de ingeniería social, técnicas avanzadas de evasión y distribución automatizada lo convierte en un formidable adversario en el panorama de amenazas de Android.
