Descripción

Un troyano, llamado Schoolyard Bully, fue detectado por Zimperium zLabs dentro de múltiples aplicaciones de la Google Play Store. Disfrazado de aplicaciones educativas permitía descargar una amplia gama de libros infectados cuyo fin era robar las credenciales de Facebook de las víctimas. Aparentemente este malware ha estado presente en aplicaciones desde el año 2018 y se calculan más de 300,000 víctimas.

Este troyano extrae múltiples datos de las cuentas de facebook del usuario como son:

• Correo electrónico o número de teléfono
• Contraseña
• Identificador del usuario
• Nombre

Debido a que aproximadamente un 64% de los usuarios reutilizan contraseñas, se ha tenido gran éxito al poder acceder a correos electrónicos y recientemente se ha utilizado este malware para acceder a cuentas financieras como pueden ser aplicaciones bancarias.

Este troyano utiliza la inyección de javacript para robar las credenciales de Facebook. El troyano abre la URL legítima dentro de un WebView con el javascript malicioso inyectado para extraer el correo electrónico o número de teléfono y la contraseña del usuario.

Como se puede observar se extraen los datos de los campos m_login_email y m_login_password.

El malware utiliza bibliotecas nativas del sistema para ocultarse de loa mayoría de los algoritmos utilizados por antivirus. Este troyano utiliza la biblioteca nativa llamada libabc.so para almacenar los datos del C&C. Los datos tienen ademas una capa extra de codificación para evitar que mediante un análisis de cadenas puedan ser detectadas.

Como se puede observar, los datos del archivo es una cadena compuestas por 0's, 1's y 3's por lo que al separar la cadena por los caracteres '3' y al manejar cada subcadena como numero binario, al pasar este numero binario a ASCII se obtiene un JSON con los datos de los servidores en los que se almacenan los datos.

Se identificaron los siguientes servidores Firebase C&C configurados:

• https://bigdata-habn.firebaseio.com
• https://bigdata2-habn.firebaseio.com
• https://bigdata3-habn.firebaseio.com

A pesar de que este malware se ha encontrado principalmente en aplicaciones vietnamitas, ha llegado a afectar a 71 paises diferentes.

Los paquetes y aplicaciones en los que se ha identificado este troyano son:

Solución

• Instalar antivirus dentro de los dispositivos móviles y mantenerlos actualizados.
• Realizar cambios periódicos de las contraseñas utilizadas, así como utilizar contraseñas distintas en cada servicio.