Actor de Amenaza Sirio EVLF Desenmascarado como Creador de CypherRAT y CraxsRAT Malware para Android

Un actor de amenaza sirio llamado EVLF ha sido revelado como el creador de las familias de malware CypherRAT y CraxsRAT.

"Estos RATs están diseñados para permitir a un atacante realizar acciones en tiempo real de forma remota y controlar la cámara, ubicación y micrófono del dispositivo de la víctima", dijo la empresa de ciberseguridad Cyfirma en un informe publicado la semana pasada.

Se dice que CypherRAT y CraxsRAT se ofrecen a otros ciberdelincuentes como parte de un esquema de malware como servicio (MaaS). Se estima que hasta 100 actores de amenazas únicos han comprado las herramientas gemelas con una licencia de por vida en los últimos tres años.

Se dice que EVLF está operando una tienda en línea para anunciar sus productos desde al menos septiembre de 2022.

**Ciberseguridad**

CraxsRAT se presenta como un troyano para Android que permite a un actor de amenaza controlar de forma remota un dispositivo infectado desde una computadora con Windows, con el desarrollador lanzando constantemente nuevas actualizaciones basadas en comentarios de los clientes.

El paquete malicioso se genera utilizando un constructor, que viene con opciones para personalizar y ofuscar la carga útil, elegir un ícono, el nombre de la aplicación y las características y permisos que deben activarse una vez instalados en el smartphone.

"CraxsRAT es uno de los RATs más peligrosos en el panorama actual de amenazas de Android, con características impactantes como eludir la protección de Google Play, vista en vivo de la pantalla, así como una terminal para ejecución de comandos", explicó Cyfirma.

"La función 'Super Mod' hace que la aplicación sea aún más letal, dificultando que las víctimas desinstalen la aplicación (cada vez que la víctima intenta desinstalarla, la página se bloquea)."

El malware para Android también solicita a las víctimas que le otorguen permisos para los servicios de accesibilidad de Android, lo que le permite recopilar una gran cantidad de información que sería valiosa para los ciberdelincuentes, incluidos registros de llamadas, contactos, almacenamiento externo, ubicación y mensajes SMS.

Se ha observado que EVLF opera un canal de Telegram llamado "EvLF Devz" que fue creado el 17 de febrero de 2022. Tiene 10,678 suscriptores al momento de escribir.

Ciberseguridad

Una búsqueda de CraxsRAT muestra numerosas versiones pirateadas del malware alojadas en GitHub, aunque parece que Microsoft ha eliminado algunas de ellas en los últimos días. Sin embargo, la cuenta de GitHub de EVLF sigue activa en el servicio de alojamiento de código.

El 23 de agosto de 2023, EVLF publicó un mensaje en el canal diciendo que estaban dejando el proyecto, probablemente en respuesta a la divulgación pública de sus actividades.

"lamentablemente este es el final, debido a circunstancias de la vida dejaré de desarrollar y publicar", dijo EVLF en la publicación. "para mis clientes no se preocupen, no los dejaré y me iré, lanzaré un par de parches para ustedes antes de irme."

Fuente y créditos: Syrian Threat Actor EVLF Unmasked as Creator of CypherRAT and CraxsRAT Android Malware (thehackernews.com)

Contenido traducido al español con fines informativos, cualquier cambio en la publicación original no será reflejada en esta entrada, favor referirse a la fuente para obtener el acceso a cualquier actualización del contenido. Para la traducción se utilizó ChatGPT, al ser una traducción automática puede contener errores gramaticales o de otro tipo, favor enviar comentarios al moderador para corregir.