Un nuevo troyano bancario para Android, llamado Sturnus, ha sido descubierto con la capacidad de eludir el cifrado de aplicaciones de mensajería y realizar ataques de superposición para robar credenciales bancarias. Según un informe de ThreatFabric, Sturnus captura el contenido directamente de la pantalla del dispositivo después del descifrado, permitiéndole monitorizar comunicaciones en WhatsApp, Telegram y Signal.

Además de interceptar mensajes cifrados, Sturnus utiliza pantallas de inicio de sesión falsas sobre aplicaciones bancarias para capturar las credenciales de las víctimas. Este troyano se encuentra actualmente en fase de evaluación y está operado de forma privada.

El malware se distribuye a través de aplicaciones falsas como ‘Google Chrome’ (com.klivkfbky.izaybebnx) y ‘Preemix Box’ (com.uvxuthoq.noscjahae).

Sturnus se enfoca principalmente en instituciones financieras de Europa Central y del Sur, utilizando superposiciones específicas para cada región. Su nombre alude a su uso de una comunicación mixta, combinando texto plano, AES y RSA.

Una vez lanzado, el troyano se conecta a un servidor remoto a través de WebSocket y canales HTTP para registrar el dispositivo y recibir cargas útiles cifradas. También establece un canal WebSocket para permitir a los atacantes interactuar con el dispositivo Android comprometido durante sesiones de Virtual Network Computing (VNC).

Además de las superposiciones falsas, Sturnus abusa de los servicios de accesibilidad de Android para capturar pulsaciones de teclas y registrar interacciones de la interfaz de usuario. También puede mostrar una superposición de pantalla completa que bloquea toda la retroalimentación visual y simula una actualización del sistema operativo Android para ocultar actividades maliciosas en segundo plano.

El troyano también recopila información del dispositivo, como datos de sensores, condiciones de red, datos de hardware y una lista de aplicaciones instaladas, para adaptar sus tácticas y evitar la detección.

Sturnus bloquea la desinstalación ordinaria y la eliminación a través de herramientas como ADB hasta que los derechos de administrador sean revocados manualmente, ofreciendo una fuerte protección contra los intentos de limpieza.

Fuente original: Ver aquí