ESET, la compañía líder en detección proactiva de amenazas, ha revelado una sofisticada campaña de espionaje que utiliza una aplicación maliciosa para Android, denominada GhostChat, disfrazada de una inocua aplicación de chat. Esta plataforma, que se presenta como un espacio para conectar con perfiles femeninos, es en realidad una herramienta de vigilancia encubierta diseñada para monitorizar la actividad del dispositivo y filtrar datos confidenciales de forma continua mientras esté instalada.
La campaña se distingue por un nivel de engaño inusualmente alto, donde los perfiles falsos se presentan como bloqueados y requieren un código de acceso, creando una falsa sensación de exclusividad y acceso privilegiado. Esta táctica de ingeniería social busca generar confianza y persuadir a las víctimas de que están participando en algo especial, aumentando la probabilidad de que descarguen e instalen la aplicación maliciosa.
Aunque el origen exacto de la distribución de la aplicación es desconocido, los investigadores de ESET sospechan que la táctica de exclusividad juega un papel crucial en el señuelo, con los supuestos códigos de acceso distribuidos junto con la aplicación. GhostChat nunca estuvo disponible en Google Play, sino que requería la instalación manual por parte de los usuarios, quienes debían habilitar los permisos para instalar aplicaciones de fuentes desconocidas.
Una vez instalada, la aplicación solicita una serie de permisos que le permiten acceder a funciones críticas del dispositivo. Tras la concesión de estos permisos, GhostChat presenta una pantalla de inicio de sesión, donde las víctimas deben introducir sus credenciales. A partir de este momento, el spyware se ejecuta en segundo plano, monitorizando silenciosamente la actividad del dispositivo y filtrando datos confidenciales a un servidor de comando y control (C&C).
La aplicación maliciosa simula ser una plataforma de chat legítima llamada Dating Apps sin pago, usurpando la identidad de una aplicación real disponible en Google Play y utilizando su icono para confundir a los usuarios. Una vez iniciada la sesión, a las víctimas se les presenta una selección de 14 perfiles femeninos, cada uno con foto, nombre y edad. Todos los perfiles están marcados como bloqueados, y al pulsar sobre uno de ellos se solicita a la víctima que introduzca un código de desbloqueo.
Estos códigos de desbloqueo están predefinidos en la aplicación y no se validan de forma remota, lo que sugiere que se comparten previamente con las víctimas como parte del señuelo. Cada perfil está vinculado a un número de WhatsApp específico con un código de país pakistaní (+92). Los números están integrados en la aplicación y no pueden modificarse a distancia, lo que indica que el operador posee varias tarjetas SIM pakistaníes o tiene acceso a un proveedor externo que las vende. El uso de números locales refuerza la ilusión de que los perfiles son personas reales establecidas en Pakistán, aumentando la credibilidad de la estafa.
Al introducir el código correcto, la aplicación redirige al usuario a WhatsApp para iniciar una conversación con el número asignado, presumiblemente operado por los actores de la amenaza. Mientras la víctima interactúa con la aplicación, incluso antes de iniciar sesión, el spyware GhostChat se ejecuta en segundo plano, supervisando silenciosamente la actividad del dispositivo y filtrando datos confidenciales a un servidor C&C.
Más allá de la exfiltración inicial de datos, GhostChat se dedica al espionaje activo, configurando un observador de contenidos para supervisar las imágenes recién creadas y cargarlas a medida que aparecen. Además, programa una tarea periódica que busca nuevos documentos cada cinco minutos, garantizando una vigilancia continua y la recopilación de datos.
Martina López, investigadora de Seguridad Informática de ESET Latinoamérica, explica que la campaña utiliza un nivel de engaño no observado previamente en esquemas similares. "Los perfiles falsos se presentan a las víctimas potenciales como bloqueados y requieren un código de acceso. Se trata de una táctica de ingeniería social para crear la impresión de 'acceso exclusivo'", comenta López.
Aunque la campaña parece estar centrada en Pakistán, ESET no tiene pruebas suficientes para atribuirla a un actor de amenazas específico. Sin embargo, la compañía ha compartido sus hallazgos con Google, como parte de su participación en la App Defense Alliance, lo que ha permitido proteger automáticamente a los usuarios de Android contra las versiones conocidas de este spyware a través de Google Play Protect, que está activado por defecto en los dispositivos Android con Google Play Services.
La detección y el análisis de GhostChat resaltan la creciente sofisticación de las campañas de espionaje móvil y la importancia de la concienciación sobre los riesgos asociados a la descarga e instalación de aplicaciones de fuentes desconocidas. Los usuarios deben ser cautelosos al interactuar con perfiles en línea y evitar proporcionar información personal o acceder a enlaces sospechosos. Además, es fundamental mantener el software de seguridad actualizado y habilitar la verificación en dos pasos para proteger las cuentas en línea.
Este caso subraya la necesidad de una mayor colaboración entre las empresas de seguridad, los proveedores de sistemas operativos y las autoridades para combatir las amenazas cibernéticas y proteger a los usuarios de las crecientes tácticas de espionaje en línea. La investigación de ESET sobre GhostChat proporciona información valiosa sobre las técnicas utilizadas por los actores de la amenaza y contribuye a fortalecer las defensas contra futuras campañas de espionaje.
