Expertos en seguridad han alertado sobre una nueva ola de ciberataques que emplean la plataforma Hugging Face como repositorio para distribuir miles de variantes maliciosas de cargas troyanas de acceso remoto (RAT) dirigidas a Android, con el objetivo de sustraer credenciales de servicios financieros.
Hugging Face es un servicio de alojamiento de código abierto en línea que normalmente se usa para guardar modelos de aprendizaje automático e inteligencia artificial (IA), facilitando que los desarrolladores compartan o entrenen aplicaciones, conjuntos de datos o modelos estándar.
No obstante, este espacio diseñado para ser de libre acceso, ha sido aprovechado por ciberdelincuentes para propagar software malicioso con intenciones dañinas, evadiendo los filtros establecidos para regular el contenido publicado en Hugging Face, que suele ser revisado mediante el antivirus ClamAV.
Así lo han revelado investigadores de la firma de ciberseguridad Bitdefender, quienes explicaron que estas cargas maliciosas forman parte de una campaña de distribución de RAT para dispositivos Android, que combina tácticas de ingeniería social con recursos de Hugging Face para comprometer los dispositivos y, al forzar los Servicios de Accesibilidad de Android, sustraer las credenciales de los usuarios para servicios financieros.
Ingeniería social y app maliciosa que conecta con hugging face
Específicamente, el servicio Hugging Face ha sido usado de forma indebida para alojar y distribuir miles de variantes peligrosas de APK, tal como explicó la empresa de seguridad informática en un comunicado.
El procedimiento comienza empleando técnicas de ingeniería social mediante las cuales los atacantes buscan persuadir a los usuarios para que descarguen una aplicación aparentemente legítima llamada TrustBastion. Para lograrlo, despliegan anuncios de tipo ‘scareware’ diseñados para alarmar y engañar a los usuarios, haciéndoles creer que sus dispositivos están infectados o presentan fallos importantes.
Dentro de este contexto, la aplicación TrustBastion se promociona como una herramienta gratuita de ciberseguridad, capaz de identificar fraudes, mensajes sospechosos o intentos de ‘phishing’. Aunque no tiene funciones dañinas, una vez instalada, exige a los usuarios descargar una actualización obligatoria para seguir usando la app, mediante una página falsa que emula la tienda Google Play.
Dicha actualización no descarga directamente el malware, pero según los expertos, es aquí donde entra en juego Hugging Face. Esto sucede porque la actualización se conecta con un servidor (trustbastion.com) vinculado a TrustBastion, que redirige al repositorio de Hugging Face donde se aloja el archivo APK malicioso.
Así, la carga que contiene el troyano es descargada desde la infraestructura del repositorio y distribuida a través de su red CDN. Además, para evitar la detección por parte de los sistemas de Hugging Face, los ciberdelincuentes generan nuevas cargas útiles aproximadamente cada 15 minutos.
Esto se realiza mediante un método conocido como polimorfismo del lado del servidor, basado en un concepto de programación backend que permite reutilizar el código sin modificar su lógica principal, haciendo que pase inadvertido.
Explotan los servicios de accesibilidad de android para robar datos
Tras la descarga maliciosa en el dispositivo Android, se activa la segunda fase del ataque. En concreto, el troyano aprovecha los permisos de los Servicios de Accesibilidad de Android, los cuales permiten funciones como la captura de pantalla o impedir la desinstalación.
Para conseguirlo, el malware se hace pasar por una función de ‘Seguridad del Teléfono’ y guía al usuario para habilitar los Servicios de Accesibilidad. Así, monitoriza la actividad en el smartphone, realiza capturas de pantalla y recopila información de servicios financieros. Incluso, el troyano finge ser plataformas como Alipay y WeChat para, al iniciar sesión, obtener el código de desbloqueo del dispositivo.
Una vez recopilados estos datos, el troyano envía la información robada a los atacantes a través de un servidor centralizado de comando y control (C2), que es utilizado para gestionar la entrega del malware y la extracción de datos.
Desde Bitdefender señalaron que al momento de la investigación, el repositorio tenía alrededor de 29 días y más de «6.000 confirmaciones». No obstante, durante el análisis, el repositorio fue eliminado a finales de diciembre y reapareció bajo otro nuevo, asociado esta vez a una app para Android llamada Premium Club.
Como resultado de la investigación, Bitdefender notificó a Hugging Face sobre la existencia de este repositorio, que fue retirado por la plataforma.