En un panorama de ciberamenazas en constante evolución, seguridad y tecnología convergen para revelar tácticas cada vez más sofisticadas. Un reciente informe de Group-IB desvela una campaña que convierte teléfonos inteligentes en dispositivos de Punto de Venta (POS) maliciosos, permitiendo el robo directo desde las tarjetas de pago de las víctimas. Aunque el ataque fue dirigido y extremadamente selectivo, sus métodos subrayan una tendencia inquietante: la combinación de ingeniería social precisa con malware a medida para lograr objetivos financieros de alto valor.

La campaña, bautizada por los investigadores como WindRelay, emplea una cadena de intrusión cuidadosamente orquestada. Primero se realiza un reconocimiento para identificar a la víctima, obtener el número de teléfono y otros datos relevantes. Aunque el informe no detalla todos los orígenes de estos datos, es razonable inferir que pueden haber procedido de filtraciones o bases de datos previamente comprometidas. Con esta información, los atacantes ejecutan una táctica de vishing (fraude telefónico) para convencer a la víctima de instalar software malicioso en su dispositivo.

La primera fase implica la preparación de un Remote Access Trojan (RAT) llamado SpyNote, que se personaliza con el nombre de la víctima para generar confianza y reducir la sospecha. El diálogo con la víctima suele incluir la pretensión de pertenecer al banco y la instrucción para instalar SpyNote a través del instalador de paquetes del teléfono (sideload fuera de una tienda oficial). Este engaño busca maximizar la probabilidad de que la víctima permita la instalación sin cuestionamientos.

Una vez instalado, SpyNote se utiliza para desplegar la segunda capa de malware, WindRelay, un software NAC (Near Field Communication) malicioso diseñado para capturar datos de tarjetas de pago sin contacto en tiempo real, cada vez que la víctima aproxima la tarjeta al teléfono. En términos prácticos, el teléfono se convierte en un POS improvisado y, cuando se produce un contacto entre la tarjeta y el dispositivo, la información de la tarjeta se transmite al terminal del atacante.

Este enfoque de vishing combinado con malware es una evolución notable de técnicas anteriores. A diferencia de operaciones que buscan solo credenciales o datos aislados, WindRelay está orientado a interceptar transacciones en tiempo real, permitiendo a los atacantes realizar movimientos bancarios inmediatos, incluidas consultas de crédito y solicitudes de préstamos en la cuenta de la víctima en el banco atacado.

La campaña mostró un grado de personalización sin precedentes: los mensajes y las interfaces de la aplicación maliciosa estaban adaptados al idioma y a los contextos de las víctimas en Europa Central y del Este (República Checa, Eslovaquia y Eslovenia). Se observó que, entre noviembre de 2025 y julio de 2026, se subieron 23 muestras a VirusTotal, lo que indica una ventana operativa de aproximadamente siete meses con un número limitado de víctimas, reforzando la idea de un actor de alto valor objetivo y recursos significativos.

Los informes señalan que algunos samples contenían elementos de interfaz y textos personalizados, incluso usando el nombre de la víctima, lo que sugiere que el grupo tenía la capacidad de construir aplicaciones maliciosas dinámicamente para víctimas específicas. En el análisis, Group-IB recomienda a los usuarios ser cautos ante etiquetas personalizadas en apps y aplicar mayor fricción en procesos de solicitud de préstamos, ya que esas señales pueden indicar campañas extremadamente focalizadas.

Lecciones clave para la seguridad: mantener actualizaciones de seguridad y, especialmente, deshabilitar instalaciones de fuentes no oficiales; desestimar solicitudes de instalación de software a través de llamadas telefónicas que pretenden ser del banco; utilizar autenticación multifactor (MFA) para transacciones y monitorear alertas inusuales en cuentas bancarias. Aunque WindRelay se dirigió a un conjunto reducido de víctimas, su enfoque demuestra que la protección de dispositivos móviles y la verificación de la legitimidad de las aplicaciones instaladas son más importantes que nunca para evitar que un teléfono se convierta en un escáner POS portátil.

from Latest from TechRadar https://ift.tt/TqcZGvw
via IFTTT IA