Investigadores de ciberseguridad han revelado detalles sobre el funcionamiento interno del troyano bancario para Android ERMAC 3.0, descubriendo deficiencias significativas en la infraestructura de sus operadores. Esta nueva versión presenta una evolución considerable del malware, expandiendo sus capacidades de inyección de formularios y robo de datos para atacar a más de 700 aplicaciones bancarias, de compras y de criptomonedas.
El código fuente de ERMAC V3.0, una plataforma de malware-as-a-service (MaaS), fue descubierto en un directorio abierto, exponiendo su backend PHP y Laravel, frontend basado en React, servidor de exfiltración Golang y panel de creación de Android.
ERMAC 3.0 incluye nuevas funciones como el envío de SMS, inicio de llamadas, configuración de desvío de llamadas, visualización de notificaciones push personalizadas, obtención de líneas de asunto de correos de Gmail, captura de fotos con la cámara frontal, superposición de interfaces en aplicaciones financieras, captura de listas de contactos, mensajes SMS, aplicaciones instaladas y la capacidad de autoeliminarse del dispositivo.
El análisis del código fuente reveló vulnerabilidades críticas, como un secreto JWT codificado, un token de administrador estático por defecto, credenciales de root predeterminadas y registro de cuentas abierto en el panel de administración. Esto permite rastrear, detectar e interrumpir las operaciones activas de ERMAC.
En INGENIERÍA TELEMÁTICA SAS, recomendamos fortalecer la seguridad de sus dispositivos móviles y aplicaciones bancarias. Implemente soluciones de detección y respuesta en endpoints (EDR/XDR) para identificar y bloquear actividades maliciosas. Además, mantenga sus aplicaciones actualizadas y evite descargar software de fuentes no confiables. Contáctenos para evaluar su postura de seguridad y brindarle soluciones personalizadas para proteger su información financiera.
Fuente original: Ver aquí