Después de un análisis más profundo de la versión móvil de Guildma, una familia de troyanos bancarios anunciada a finales de septiembre, Kaspersky descubrió características únicas de la ciberamenaza y decidió clasificar esta nueva versión del troyano centrada en teléfonos móviles Android como una nueva familia: Ghimob.
Kaspersky emitió una alerta acerca de un nuevo troyano dirigido a dispositivos móviles Android a escala mundial, que puede atacar a más de 150 aplicaciones de criptomonedas y bancarias en varios países, incluyendo Perú, Paraguay y Brasil.
Para llevar a cabo la infección del celular, los delincuentes detrás de Ghimob lanzan campañas de phishing masivas que alertan sobre una supuesta deuda e incluyen un enlace para que la víctima obtenga más detalles.
Tan pronto el usuario hace clic, se instala un RAT (troyano que otorga acceso remoto), el cual envía un mensaje al cibercriminal indicándole que la infección fue exitosa junto con información sobre el modelo del teléfono, si la pantalla cuenta con bloqueo de seguridad y una lista de todas las aplicaciones en el dispositivo de la víctima que el malware puede atacar.
Ghimob está diseñado para robar credenciales y posteriormente fondos de aplicaciones móviles bancarias, de inversiones, de FinTech y criptomonedas, así como también de tarjetas de crédito de instituciones financieras en siete países de tres continentes diferentes: en América, Europa y África.
Esta familia de virua cuenta con una extensa lista de aplicaciones que puede espiar, la cual incluye a más de 110 apps de instituciones bancarias en Brasil. Además, el troyano también tiene como objetivo aplicaciones de criptomonedas de diferentes países (13 aplicaciones), sistemas de pago internacionales (9 aplicaciones) y banca móvil de instituciones que operan en Alemania (5 aplicaciones), Portugal (3 aplicaciones), Perú (2 aplicaciones), Paraguay (2 aplicaciones), Angola y Mozambique (1 aplicación de cada país).
Resalta que los instaladores de Ghimob no se encuentran en la tienda Google Play, sino en dominios maliciosos registrados por los ciberatacantes de Guildma. De hecho, Kaspersky encontró este nuevo troyano monitoreando campañas de malware para Windows de Guildma.
