Recientemente se detectó BeatBanker, una campaña de malware para Android dirigida a usuarios de Brasil.
Su distribución se realiza principalmente mediante ataques de phishing a través de una web que se hace pasar por Google Play Store.
Los APK maliciosos incluyen varios componentes, entre ellos un minero de criptomonedas y un troyano bancario capaz de secuestrar por completo el dispositivo, superponer pantallas falsas y realizar otras acciones similares.
En campañas más recientes, los atacantes han sustituido el módulo bancario por un RAT conocido.
Este caso permite seguir bastante bien cada fase de la actividad del malware en el teléfono de la víctima, cómo consigue persistencia a largo plazo y de qué forma se comunica con pools de minería.
Hallazgos principales
BeatBanker utiliza un mecanismo bastante creativo para mantenerse activo: reproduce en bucle un archivo de audio casi inaudible para evitar que el sistema lo cierre. De ahí viene el nombre BeatBanker.
Además:
- monitoriza la temperatura y el nivel de batería
- comprueba si el usuario está utilizando el dispositivo
- en distintas fases del ataque se hace pasar por una app legítima en Google Play y por la propia Play Store
- despliega un troyano bancario además de un minero de criptomonedas
- cuando el usuario intenta hacer una transacción de USDT, crea páginas superpuestas para Binance y Trust Wallet y sustituye en secreto la dirección de destino por la del atacante
- las muestras más nuevas ya no instalan el módulo bancario y en su lugar descargan BTMOB RAT
Vector de infección inicial
La campaña comienza en una web falsa que imita visualmente a la Google Play Store. Dentro aparece una aplicación llamada INSS Reembolso, que en realidad es un troyano. También había otras apps que probablemente eran maliciosas, aunque no todas pudieron analizarse.
La app INSS Reembolso se presenta como si fuera el portal móvil oficial del Instituto Nacional do Seguro Social (INSS) de Brasil, un servicio gubernamental que permite realizar gestiones relacionadas con la seguridad social. Al hacerse pasar por una plataforma oficial y conocida, la página engaña a los usuarios para que descarguen el APK malicioso.
Empaquetado y carga del malware
El APK inicial está empaquetado y utiliza una biblioteca compartida nativa llamada libludwwiuh.so. Su función principal es descifrar otro archivo ELF que finalmente cargará el DEX original.
Primero, esa biblioteca descifra un ELF embebido y lo deja temporalmente en el dispositivo como l.so. Después, ese archivo se carga y continúa la ejecución mediante JNI.
El cargador utiliza cadenas cifradas con XOR en la pila, restauradas en tiempo de ejecución, una técnica pensada para complicar el análisis.
En una fase inicial, el malware también consulta información de red para determinar si el dispositivo infectado es móvil, si se está usando una VPN y obtener datos como la IP.
Este cargador está preparado para esquivar antivirus móviles usando dalvik.system.InMemoryDexClassLoader, con lo que carga el DEX malicioso directamente en memoria, sin crear archivos visibles en el sistema.
También incluye técnicas anti-análisis, como comprobaciones para detectar entornos emulados o de laboratorio. Si detecta uno, puede matar su propio proceso para dificultar el análisis dinámico.
Falsa actualización desde una interfaz tipo Google Play
Tras ejecutarse, el malware muestra una interfaz que imita la ficha de una aplicación en Google Play, indicando que hay una actualización disponible para INSS Reembolso.
El objetivo es engañar a la víctima para que conceda permisos de instalación al pulsar en Update, lo que permite descargar e instalar más cargas maliciosas ocultas.
Todo el proceso se disfraza como una simple actualización de app. Para ello utiliza el permiso REQUEST_INSTALL_PACKAGES, instalando APK sin pasar por Google Play.
Para reforzar la persistencia, fija una notificación sobre una supuesta actualización del sistema y activa un servicio en primer plano con reproducción silenciosa de audio, una técnica pensada para impedir que Android mate el proceso.
Minería de criptomonedas
Cuando el usuario pulsa Update en la falsa pantalla de Play Store, la aplicación descarga y ejecuta un archivo ELF que contiene un minero de criptomonedas.
Primero hace una petición a un servidor de mando y control para descargar un archivo libmine-<arch>.so. Ese archivo se descifra usando CipherInputStream(), y la clave se deriva del hash SHA-1 del nombre del archivo descargado, de forma que cada versión tenga una clave distinta. El resultado final se renombra como d-miner.
La carga descifrada es un binario XMRig 6.17.0 compilado para ARM. En ejecución, intenta conectarse directamente por TCP a un pool. Si no lo consigue, cambia automáticamente a un proxy del mismo operador.
El minero se lanza con parámetros orientados a mantener la conexión activa, usar TLS y soportar el protocolo de NiceHash.
Telemetría y canal C2
BeatBanker usa Firebase Cloud Messaging (FCM) de Google como canal principal de mando y control.
Cada mensaje FCM recibido provoca una comprobación del estado del dispositivo, incluyendo:
- si está cargando
- nivel exacto de batería
- si la instalación es reciente
- si el usuario está lejos del dispositivo
- si el terminal se está sobrecalentando
- temperatura actual de la batería
En función de esto, el malware puede arrancar o detener el minero. Así mantiene el control del terminal y adapta su actividad para no llamar demasiado la atención.
Persistencia
El componente KeepAliveServiceMediaPlayback garantiza el funcionamiento continuo mediante reproducción ininterrumpida a través de MediaPlayer.
Mantiene el servicio activo en primer plano con una notificación y reproduce un pequeño archivo de audio en bucle. Esa actividad constante evita que el sistema suspenda o termine el proceso por inactividad.
El audio identificado, output8.mp3, dura cinco segundos y se reproduce en bucle. Contiene algunas palabras en chino.
Módulo bancario
Además del minero, BeatBanker instala otro APK malicioso que funciona como troyano bancario. Este utiliza los permisos ya obtenidos para instalar una APK adicional llamada INSS Reebolso, asociada al paquete com.destination.cosmetics.
Igual que el APK inicial, intenta persistir mediante una notificación fija en primer plano para dificultar su eliminación. También trata de engañar al usuario para que conceda permisos de accesibilidad.
Una vez obtenidos esos permisos, el malware consigue un control muy amplio sobre la interfaz del dispositivo.
Robo de USDT mediante pantallas superpuestas
El troyano vigila constantemente la app que está en primer plano. Sus objetivos principales son la aplicación oficial de Binance y Trust Wallet, especialmente cuando detecta transacciones de USDT.
Cuando el usuario intenta retirar USDT, el malware superpone la pantalla de confirmación de la app con una página falsa muy convincente, generada a partir de HTML codificado en Base64 dentro del módulo bancario.
El módulo captura la dirección original y la cantidad, y luego sustituye en silencio la dirección de destino por la cartera controlada por el atacante usando funciones de accesibilidad.
La página superpuesta muestra al usuario la dirección que cree haber copiado o simplemente un icono de carga, de modo que la víctima piensa que está enviando fondos a la cartera correcta cuando en realidad van a la del atacante.
Navegadores vigilados
El módulo bancario también monitoriza navegadores instalados en el dispositivo, entre ellos:
- Chrome
- Firefox
- Samsung Internet
- Brave
- Opera
- DuckDuckGo
- Dolphin Browser
- Edge
Su objetivo es recopilar las URLs visitadas por la víctima y también gestionar enlaces guardados en el navegador por defecto del dispositivo. Puede añadir, editar, borrar, listar y abrir enlaces proporcionados por el atacante.
Capacidades de control remoto
BeatBanker también recibe comandos desde el C2 para recopilar información personal y tomar control completo del dispositivo.
Entre sus capacidades destacan:
- mostrar mensajes falsos en pantalla
- abrir Google Authenticator y capturar códigos
- grabar audio con el micrófono
- listar y exfiltrar grabaciones
- pegar texto desde el portapapeles
- abrir enlaces
- enviar SMS
- bloquear o deshabilitar aplicaciones
- borrar archivos o desinstalarse
- bloquear la pantalla
- ejecutar macros de toques y gestos
- activar funciones de keylogger
- solicitar permisos críticos, como accesibilidad, overlays o instalación desde orígenes desconocidos
- ejecutar códigos USSD
- superponer una pantalla negra para ocultar actividad
- leer texto en pantalla en tiempo real
- hacer capturas o streaming de pantalla
- controlar funciones relacionadas con VPN y firewall
En otras palabras, no es un simple ladrón de credenciales: puede convertirse en una plataforma completa de espionaje y control remoto sobre Android.
Nuevas muestras con BTMOB en lugar del módulo bancario
Las detecciones más recientes muestran una campaña que usa una falsa aplicación de StarLink, identificada como una nueva variante de BeatBanker.
La cadena de infección es muy parecida a la anterior: misma persistencia mediante audio en bucle y notificaciones fijas, además de un minero de criptomonedas similar. La gran diferencia es que en vez de desplegar el módulo bancario, esta variante instala BTMOB RAT.
¿Qué es BTMOB?
BTMOB es una herramienta de administración remota para Android muy ofuscada. Incluye clases dedicadas a configuración, persistencia y protección frente a reinicio, borrado o restauración del bloqueo de pantalla, además de soporte para grabación de pantalla en tiempo real.
Su rutina de descifrado de cadenas usa XOR repetitivo con una clave corta, una técnica sencilla pero efectiva para esconder texto dentro del APK.
BTMOB se vende como Malware-as-a-Service (MaaS) y se considera una evolución de familias como CraxsRAT, CypherRAT y SpySolr. Ofrece control remoto total del dispositivo de la víctima y ha sido publicitado incluso con capturas, webs promocionales, canales de Telegram y vídeos en YouTube destinados a facilitar su venta y uso.
También se ha observado circulación y venta de código fuente filtrado de BTMOB en foros delictivos, lo que sugiere que el operador de BeatBanker podría haber adquirido ese malware a terceros o a partir de una filtración.
¿Qué puede hacer BTMOB?
En cuanto a capacidades, BTMOB conserva un conjunto muy invasivo de funciones, entre ellas:
- concesión automática de permisos, especialmente en Android 13 a 15
- uso de overlays negros para ocultar notificaciones del sistema
- instalación silenciosa
- ejecución persistente en segundo plano
- captura de credenciales de bloqueo de pantalla, como PIN, patrones y contraseñas
- acceso a cámaras frontal y trasera
- captura de pulsaciones en tiempo real
- monitorización de ubicación GPS
- recopilación constante de datos sensibles
Con esto, el operador obtiene control remoto completo, acceso persistente y vigilancia intensiva del terminal comprometido.
Víctimas
Todas las variantes analizadas de BeatBanker, tanto las que incorporan módulo bancario como las que reparten BTMOB, se detectaron en víctimas de Brasil.
Algunas de las muestras que entregan BTMOB parecen usar WhatsApp como vía de propagación, además de páginas de phishing.
Conclusión
BeatBanker es un ejemplo muy claro de cómo las amenazas móviles se están volviendo más sofisticadas y por capas.
Empezó como una campaña centrada en Brasil, pero ya muestra una combinación bastante peligrosa: minería de Monero, robo bancario, manipulación de transacciones de criptomonedas y, en sus variantes más recientes, despliegue de un RAT completo.
Los atacantes han diseñado mecanismos ingeniosos para mantener el malware activo, como el audio casi inaudible en bucle que evita que el sistema cierre el proceso.
Además, el malware vigila constantemente el estado del dispositivo, el uso por parte del usuario, la batería y la temperatura, y utiliza incluso la infraestructura legítima de FCM para recibir órdenes.
La lección está bastante clara: la desconfianza sigue siendo una de las mejores defensas. BeatBanker se propaga a través de webs falsas que imitan Google Play y se disfraza como aplicaciones oficiales o de confianza.
¿Cómo protegerse de BeatBanker?
- descarga apps solo desde fuentes oficiales, como Google Play o la tienda oficial del fabricante
- revisa con atención los permisos solicitados, especialmente accesibilidad, overlays e instalación de apps externas
- mantén Android y las soluciones de seguridad siempre actualizados