El grupo de ciberseguridad Infoblox ha identificado una nueva familia de malware, llamada GoldFamily, que representa una evolución de los peligrosos troyanos conocidos como GoldPickaxe y GoldDigger. Esta amenaza apunta específicamente a usuarios de iPhone y iPad con la intención de robar datos biométricos y acceder a sus cuentas bancarias. Lo más alarmante es el uso de inteligencia artificial para generar imágenes de deepfake, lo que le permite burlar sistemas de autenticación facial considerados seguros.
Cómo funciona el ataque
Los ciberdelincuentes manipulan a las víctimas para que proporcionen escaneos faciales y documentos de identificación confidenciales. Los ataques pueden iniciarse a través de correos electrónicos, mensajes de texto o aplicaciones de mensajería. Una vez que los actores maliciosos obtienen los datos faciales, utilizan IA para crear imágenes falsas que se utilizan para acceder a las cuentas bancarias de las víctimas.
En dispositivos iOS, el malware emplea perfiles de gestión remota para instalar aplicaciones maliciosas. En el caso de los dispositivos Android, los atacantes manipulan a las víctimas para que instalen directamente aplicaciones fraudulentas. El malware recopila datos faciales, intercepta mensajes de texto y solicita imágenes de documentos de identificación, todo mientras actúa como proxy del tráfico de red.
Defensa contra la amenaza
Para anticiparse a estos ataques, Infoblox ha desarrollado su Programa de Detección Temprana de DNS, que identifica dominios maliciosos antes de que aparezcan en fuentes de inteligencia de código abierto. El sistema marca estos dominios como sospechosos, permitiendo a los equipos de seguridad bloquearlos proactivamente. Este enfoque puede interrumpir el ciclo de ataque y evitar que el malware se propague a nuevas víctimas.
Datos clave del análisis de Infoblox
- El 70,83 % de los dominios asociados con GoldFamily fueron identificados por Infoblox como sospechosos con un promedio de 197,7 días antes de que aparecieran en fuentes de inteligencia abiertas.
- Un 64,71 % de estos dominios se detectaron como sospechosos dentro de los primeros tres días posteriores a su registro.
Metodología de análisis
El equipo de Infoblox identificó los dominios maliciosos dentro de fuentes de inteligencia de código abierto (OSINT) y comparó sus datos con su propio sistema de detección temprana. Además, los expertos rastrearon cada dominio para obtener la fecha más temprana en la que Infoblox los marcó como sospechosos.
La amenaza que representa el malware GoldFamily sigue presente y puede extenderse a nivel mundial. Sin embargo, el sistema de detección temprana de Infoblox ofrece a las organizaciones una forma proactiva de bloquear ataques antes de que causen daño. La identificación de dominios sospechosos semanas o meses antes de su divulgación pública brinda una oportunidad única para que las empresas refuercen sus defensas contra ciberamenazas sofisticadas como GoldFamily.
