Detectado el primer malware clipper en Google Play

La firma de ciberseguridad ESET ha anunciado el descubrimiento del primer malware de Android en Google Play capaz de reemplazar el contenido de la aplicación portapapeles del dispositivo.

El objetivo de este malware clipper descubierto por la firma eslovaca es conseguir robar criptomonedas Bitcoins y Ethereum, por lo que redirige las transferencias realizadas en estas criptomonedas a la cuenta del atacante en lugar de a la de la víctima.

“Este descubrimiento pone en manifiesto que los clippers que redirigen criptomonedas ya no son solamente una conversación en foros escondidos de Android deben estar alerta” destaca Lukas Stefanko, autor de la investigación.

El clipper detectado como Android/Clipper.C se aprovecha de los usuarios que realizan transacciones con criptomonedas y que normalmente no introducen su clave manualmente, sino que la copian desde el portapapeles. El malware reemplaza la dirección escrita en el portapapeles con la del ciberdelincuente.

MetaMask, oculto como legítimo, el primer malware clipper en Google Play

Por ello, los usuarios que sólo utilizan la tienda oficial de Google para descargar apps estaban seguros ante estas amenazas, pero ya no. Este mes de febrero, los investigadores de ESET han descubierto el primer clipper en Google Play. Stefanko explica que “afortunadamente, hemos encontrado este clipper muy poco tiempo después de su incorporación a la tienda y, en cuanto ESET ha avisado a Google, se ha eliminado”.

El clipper se hace pasar por un servicio legítimo denominado MetaMask, diseñado para utilizar apps descentralizadas de Ethereum sin abrir el modo completo de Ethereum y que se acopla a los navegadores como Chrome o Firefox en forma de extensión. Actualmente, no existe una versión móvil de este servicio.

“Parece ser que existe una demanda para la versión móvil de MetaMask y los cibercriminales lo saben”, advierte Stefanko. “Por ello se han hecho pasar por este servicio para distribuir su malware”, afirma el investigador.

"Con el clipper instalado en el dispositivo, robar no puede ser más sencillo. Son las propias víctimas las que envían, involuntariamente, sus fondos al atacante"

Además, este malware persigue los fondos en Bitcoins o Ethereum de la víctima. En cualquier caso, tan solo solicita al usuario que introduzca la dirección de su cuenta en un formulario falso, por lo que la víctima revela información confidencial al atacante.

“Con el clipper instalado en el dispositivo, robar no puede ser más sencillo. Son las propias víctimas las que envían, involuntariamente, sus fondos al atacante”, explica Stefanko.