Malware FlixOnline
Una aplicación falsa que prometía Netflix gratis fue atrapada entregando una amenaza de malware llamada FlixOnline. Las aplicaciones armadas habían logrado escabullirse por las salvaguardias de Google y, durante dos meses, estuvieron disponibles para su descarga desde la Play Store oficial. Durante ese tiempo, más de 500 usuarios se infectaron con la amenaza de malware FlixOnline, encontraron los investigadores. El objetivo es dirigir a los usuarios hacia un sitio web falso de Netflix especialmente diseñado que extrae cada pieza de información ingresada en él. Los piratas informáticos buscaban principalmente las credenciales de inicio de sesión de la víctima y los detalles de la tarjeta de crédito / débito.
La aplicación atrajo a los usuarios con promesas de Netflix gratis: '2 meses de Netflix Premium gratis en cualquier lugar del mundo durante 60 días'. Sin embargo, cuando se instaló, la carga útil dañina inició una técnica bastante novedosa que le permitió secuestrar la conexión al cliente de WhatsApp del usuario. En la práctica, FlixOnline interceptó las notificaciones entrantes solicitando un permiso de escucha de notificaciones. Esto permite que la amenaza acceda a todas las notificaciones sobre los mensajes recibidos y realice acciones designadas como "descartar" o "responder" automáticamente. El malware aprovechó al máximo este permiso.
Autopropagación mediante el secuestro de notificaciones de WhatsApp
FlixOnline emplearía una función llamada OnNotificationPosted para verificar el nombre del paquete de la aplicación que crea cualquier notificación dada. Si esa aplicación es WhatsApp, el malware cancelará la notificación para ocultarla al usuario y luego procederá a leer su título y contenido. El último paso es enviar una respuesta automatizada usando una carga útil recibida del servidor de Comando y Control. En la mayoría de los casos, las respuestas salientes de WhatsApp creadas de esta manera se utilizaron para difundir aún más el malware FlixOnline. Un mensaje automatizado observado creado por la amenaza es:
'2 meses de Netflix Premium gratis sin costo POR MOTIVO DE CUARENTENA (CORONA VIRUS) * Obtenga 2 meses de Netflix Premium gratis en cualquier parte del mundo durante 60 días. Consíguelo ahora AQUÍ [ENLACE] '.
Además de Notification Listener, la amenaza de malware también solicita permisos de Overlay y Battery Optimization Ignore. A menudo, las amenazas de malware que recopilan datos aprovechan una superposición para generar nuevas ventanas, como pantallas de inicio de sesión falsas, además de las aplicaciones legítimas iniciadas por el usuario con el objetivo de recopilar las credenciales de la cuenta y otros detalles confidenciales. El permiso Battery Optimization Ignore, como su nombre indica, asegura que el malware FlixOnline permanecerá operativo incluso cuando el dispositivo Android infectado entre en modo inactivo.
Después de recibir una notificación sobre la aplicación falsa FlixOnline, Google la eliminó rápidamente de Play Store.