AbstractEmu
Qué es
AbstractEmu es un malware móvil para Android que busca obtener permisos de root en el sistema operativo. Los atacantes lo distribuyen dentro de aplicaciones legítimas, como gestores de contraseñas o lanzadores, para engañar a los usuarios.
Cómo llega
Llega a las víctimas a través de aplicaciones con apariencia legítima publicadas en Google Play y otras tiendas de terceros.
Qué hace una vez dentro
Una vez instalado, el malware explota vulnerabilidades conocidas de Android para obtener permisos de administrador. Esto le permite acceder a privilegios elevados en el dispositivo.
A quién ataca
Impacta principalmente a usuarios en Estados Unidos, aunque se cree que hay víctimas en un total de 17 países.
Técnicas de MITRE ATT&CK
| Táctica | Técnica | ID |
|---|---|---|
| Ejecución | Unix Shell | T1623.001 |
| Escalada de privilegios | Exploitation for Privilege Escalation | T1404 |
| Escalada de privilegios | Device Administrator Permissions | T1626.001 |
| Evasión de defensas | Obfuscated Files or Information | T1406 |
| Evasión de defensas | Download New Code at Runtime | T1407 |
| Evasión de defensas | Disable or Modify Tools | T1629.003 |
| Evasión de defensas | Virtualization/Sandbox Evasion | T1633 |
| Evasión de defensas | System Checks | T1633.001 |
| Descubrimiento | Software Discovery | T1418 |
| Descubrimiento | System Network Configuration Discovery | T1422 |
| Descubrimiento | Internet Connection Discovery | T1422.001 |
| Descubrimiento | System Information Discovery | T1426 |
| Recolección | Audio Capture | T1429 |
| Recolección | Location Tracking | T1430 |
| Recolección | Video Capture | T1512 |
| Recolección | Access Notifications | T1517 |
| Recolección | Data from Local System | T1533 |
| Recolección | Call Log | T1636.002 |
| Recolección | Contact List | T1636.003 |
| Recolección | SMS Messages | T1636.004 |
| Comando y control | Web Protocols | T1437.001 |
| Comando y control | Ingress Tool Transfer | T1544 |
| Exfiltración | Exfiltration Over C2 Channel | T1646 |
Fuente: MITRE ATT&CK v20 (S1061).
Vulnerabilidades asociadas
| CVE | Producto | CVSS | KEV de CISA |
|---|---|---|---|
| CVE-2019-2215 | Android Android Kernel | 7.8 | Sí |
Actividad en feeds públicos
| Tipo de indicador | Nuevos en 30 días |
|---|---|
| Servidores de comando y control (IP:puerto) | 0 |
| Dominios | 0 |
| URLs | 0 |
| Hashes de archivos | 0 |
Sin indicadores nuevos en los feeds que seguimos en los últimos 30 días.
Fuentes
← Todo el catálogo de armamento