Se descubrió que una nueva campaña de reversión de malware basada en ingeniería social en Japón es una aplicación maliciosa que despliega un troyano bancario en computadoras Windows comprometidas para robar credenciales de inicio de sesión asociadas con cuentas de criptomonedas.

La aplicación se hace pasar por un juego porno animado, una aplicación de puntaje o una aplicación de transmisión de video, dijeron los investigadores de Trend Micro Jaromír Horejsi y Joseph C Chen en un análisis publicado la semana pasada, atribuyendo la operación a un jugador de amenazas que está monitoreando como Water Kappa, que anteriormente estaba encontrado dirigido a usuarios japoneses de banca en línea que usan el troyano Cinobi usando exploits en Internet Explorer.

El cambio de táctica es una indicación de que el adversario está excluyendo a los usuarios de navegadores web que no sean Internet Explorer, agregaron los investigadores.

La última rutina de infección de Water Kappa comienza con anuncios maliciosos de juegos pornográficos animados japoneses, aplicaciones recompensadas o servicios de transmisión de video, con páginas de inicio que instan a la víctima a descargar una aplicación: un archivo ZIP que contiene archivos de una versión anterior de «Logitech Capture». «aplicación de 2018, pero que también contiene archivos modificados que están organizados para descifrar y ejecutar código shell, que a su vez activa el troyano Cinobi Banking.

Además de geovalla el acceso a portales publicitarios maliciosos desde direcciones IP no japonesas, el troyano está diseñado para robar nombres de usuario y contraseñas de 11 instituciones financieras japonesas, tres de las cuales se ocupan del comercio de criptomonedas. Cuando el usuario visita uno de los sitios web específicos, se activa el módulo de captura de formularios de Cinobi, que captura la información completada en las pantallas de inicio de sesión.

«La nueva campaña publicitaria muestra que Water Kappa sigue activa y en constante desarrollo de sus herramientas y técnicas para obtener mayores ganancias financieras; el objetivo de esta campaña también es robar la criptomoneda», dijeron los investigadores. «Para minimizar el riesgo de infección, los usuarios deben tener cuidado con los anuncios sospechosos en sitios web dudosos y, si es posible, descargar aplicaciones solo de fuentes confiables».