Así opera el 'smishing', el fraude que usa SMS para infectar móviles

Check Point Research ha alertado de las campañas de 'smishing', una serie de ciberataques que utilizan los mensajes de texto y la ingeniería social para engañar a los usuarios, infectar sus equipos y robarles datos sensibles y dinero.

Los SMS de 'phishing', es decir, los mensajes de texto que simulan su envío desde un organismo o marca conocidos, incluyen una supuesta notificación para el usuario, como pueda ser una denuncia, y la acompañan de un enlace para su seguimiento.

Al pinchar en el enlace, se insta al usuario a descargar una aplicación Android maliciosa, y a introducir datos sensibles, como los de la tarjeta bancaria. Una vez instalada, la 'app' roba todos los SMS del dispositivo infectado, lo que permite a los delincuentes utilizar la tarjeta de crédito o débito y acceder a los SMS que se envían como parte de la autenticación de doble factor.

La aplicación maliciosa comprueba el servidor de comando y control (C&C) controlado por los ciberdelincuentes en busca de nuevos comandos para su ejecución de forma periódica. Además, para mantener la persistencia, después de enviar la información de la tarjeta, la aplicación puede ocultar su icono, lo que dificulta su control y desinstalación.

Esta metodología descrita por los investigadores de Check Point se ha detectado en las campañas de 'smishing' dirigidas contra ciudadanos iraníes, que suplan al Gobierno del país, y que ha provocando el robo de miles de millones de riales iraníes a las víctimas, con cifras estimadas de entre 1.000 y 2.000 dólares por usuario. Además, terceros pueden acceder 'online' a los datos robados puesto que no han sido protegidos.

Desde la compañía indican en un comunicado que los ciberdelincuentes están aprovechándose de una técnica conocida como 'botnets' de 'smishing', en la que los dispositivos comprometidos se utilizan como 'bots' para difundir SMS de 'phishing' similares a otras víctimas potenciales.

Los atacantes utilizan varios canales de Telegram para promocionar y vender sus herramientas por entre 50 y 150 dólares, proporcionando un 'kit de campaña para Android' completo, que incluye la aplicación maliciosa y la infraestructura subyacente, con un panel de control que puede ser gestionado fácilmente por cualquiera a través de una sencilla interfaz de bot de Telegram.

"La campaña se aprovecha de la ingeniería social y causa importantes pérdidas económicas, a pesar de la baja calidad y la sencillez técnica de sus herramientas", ha señalado la jefa del equipo de Inteligencia de Amenazas de Check Point Software, Alexandra Gofman.

En concreto, Gofman señala que su éxito radica en que se trata de mensajes gubernamentales de aspecto oficial, pero también debido a la naturaleza de 'botnet 'de estos ataques, en los que cada dispositivo infectado recibe la orden de distribuir más mensajes SMS de 'phishing', haciendo que se propaguen rápidamente a un gran número de víctimas potenciales.