TECNOLOGíA, INTERNET, JUEGOS
324 meneos
4625 clics
Ginp: Un peligroso troyano suplanta las ‘apps’ de siete bancos españoles en Android

Ginp: Un peligroso troyano suplanta las ‘apps’ de siete bancos españoles en Android

Un usuario de Android abre su aplicación del banco. Si el malware Ginp se ha colado en su móvil, detectará ese movimiento y sobrepondrá una pantalla calcada a la del banco por encima de la app legítima, pero obviamente con una finalidad distinta. Primero pedirá las credenciales para acceder y después la tarjeta, con su fecha de caducidad y el número CVV. El usuario creerá que está usando la app del banco, pero estará dando sus datos a los ladrones.

| etiquetas: virus , troyano , app , bancos
117 207 0 K 263
117 207 0 K 263
Comentarios destacados:                        
Era de esperar. Y algunos bancos obligando a los clientes a usar la app les guste o no en lugar de poder, por ejemplo, seguir usando la tarjeta de coordenadas. Si aún funcionase el Ubuntu Touch, todavía, pero forzar al usuario a pasar por un Android para operar con sus cuentas bancarias, tiene estas cosas.
#2 en ING ya no puedes entrar con tu navegador de escritorio sin antes autorizar la app en el móvil, les está cayendo la del pulpo por la tontería
#7 ahora parece que han rectificado, y se puede seguir entrando por navegador desde escritorio.
Pero menuda cagada fue de la noche a la mañana solo permitir por smartphone.
#13 Hace un tiempo que no entro, ni escritorio ni app, por la pesca que me daba tener que estar al tanto del móvil para recibir la notificación de que accedo desde el navegador y dar permiso.

Si dices que ya no está, probaré de nuevo...
#22 eso si te lo pedrirá, en mi caso es que ni podía acceder por escritorio porque tenían restricción por la validación móvil, que no la puedo activar en mi terminal, de momento.
#45 Entendí mal entonces. No llegué a ver que bloqueasen el acceso por escritorio; sólo la implantación del "segundo factor de autenticación" mediante las alertas al móvil por defecto. En todo caso acabo de entrar (en un dispositivo desde el que accedí anteriormente, eso sí) y no necesité confirmar nada. Pero creo que me estoy liando y que el 2FA me saldrá a la siguiente transacción que haga, más que en el login.

¿En tu caso no puedes hacer este tipo de operaciones por la web; pero quizá sí por aplicación móvil?

*Fe de erratas en mi mensaje anterior: no era "pesca" sino "pereza", claramente.
#47 si, solo podía operar desde el móvil y no podía desde la web, por un control que pusieron al no tener la validación móvil activada.
#13 y en algunos android no puedes entrar si no le das el permiso de cámara y almacenamiento
#13 Pues no, ya no puedes. Y los he mandado a paseo por ello. Y por no tener casi cajeros también, pero esto ha sido la gota que ha colmado el vaso de mi paciencia (uso LineageOS y nunca soft propietario, y mucho menos de la tienda de Google... imagina).
#13 En Holanda es igual, logueas en escritorio, te manda una notif al móvil, confirmas con tu codigo de acceso en el teléfono, y acto seguido ya tienes acceso. Creo que es demasiado pero lo veo bastante seguro.
#59 Lo impuso una directiva europea. O notificación, o sms.
#65 La normativa lo que implica es un segundo factor de comprobación de identidad del cliente.

No tiene por qué ser notificación o SMS. Podría ser una segunda tarjeta de coordenadas, una llamada, un email, una segunda clave secreta, etc. No tienen la más mínima necesidad de que sea la app.
#7 #13 Una pregunta: ¿Habéis conseguido acceder ayer y hoy a la aplicación? Yo no sé qué me ha pasado que se me queda indefinidamente en la pantalla de login.
He contactado con ellos y ni me han respondido.
#63 #7 #13 Ya está, ya lo he conseguido. He tenido borrar datos de la app, entrar por web, desactivar la validación móvil, desactivar la huella, volver a entrar por la app y volver a activar de nuevo todo.
De todos modos, una revisión en profundidad ya le podrían dar a la aplicación.
#13 Yo no puedo; me sale el mensaje de la imagen después de introducir el dni y fecha de nacimiento en este página:

ing.ingdirect.es/app-login/

¿Hay algúna otra forma de acceder que yo no sepa?  media
#97 a mi me salía eso pero en la propia app y tuve que pedir que me desactivasen la validación móvil, te mandan un sms, se lo lees al agente y se desbloquea; pero como digo a mi me pasó en la app
#97 necesitas la app si o sí, aunque accedas desde el pc
#99 ¡Aaah! Vale, he vuelto a leerte... te había entendido lo que quería entender :palm: . Gracias por contestar.
#7 Joder que sí. Yo les he llamado, les he escrito emails y pienso hacerlo hasta oficialmente por carta. Como nos descuidemos nos va a hacer falta el android hasta para ir a mear. Todos controlados, todos vigilados y pagando por ello. Distopía de primera calidad, cremita buena!!
#7 ING está pasando de ser lo mejor a ser de lo peor. Está claro que Santander lo está consiguiendo, pero ING tiene gran parte de culpa.
El último colofón final es lo de la APP por cojones.
#17 pero tu eres de ING? Me da la sensación de que no...
#30 #36 Si, desde hace años. Y por eso digo que toda la presión que está haciendo Banco Santander para que ING se vaya al carajo le está funcionando.
#17 de todas maneras no te preocupes tanto esto solo afecta a bancos españoles. Como tu estas en ING no hay problema. O es que eres de algún bando santanderino?
#17 En el Santander no necesitas la app, funciona la web perfectamente.
#7 Por eso y porque la app es una mierda.

Desde que cambiaron la web hace un par de años creo, han ido a peor (la web anterior era muy clara y fácil de usar)
#20 Ese tipo de cosas las hacen a propósito para que te cueste hacer lo que ellos prefieren que no hagas (como revisar los movimientos)
#2 Creo que lo de dejar de usar la tarjeta de coordenadas (itan?) es una directiva de la UE. Dicen que es por seguridad. Yo digo que es por estupidez y porque no tienen ni puta idea de seguridad... ya no hay nada más inseguro que un móvil...
#19 la nueva normativa PSD2 exige que haya un segundo factor de autentificación, y se está estandarizando el uso del número de teléfono, que me parece bien. Lo que no está bien es que nos obliguen a instalar una app, cuando un sms o una llamada es igual de válido
#25 El sms puede ser leído por la aplicación maliciosa si se le da permisos para ello.
#51 pero esa aplicación maliciosa no tiene acceso a la sesión con la que estás entrando a tu cuenta online, el sms no le sirve para nada. Es como si te doy una llave y no sabes dónde está la cerradura
#53 Entiendo, tienes razón.
#19 Cierto. Yo estaba mucho más tranquilo con la tarjeta de coordenadas. Si quieren agregar una confirmación por SMS no me parece mal pero la tarjeta yo la tenía guardada y sabía que nada que hiciera por la web iba a ser peligroso mientras no me pidiera la tarjeta.
#28 #19 no es tanto un tema de control de acceso sino de identidad. La tarjeta no te identifica como persona, como mucho está relacionada con la cuenta bancaria, de hecho dos personas que comparten cuenta pueden tener la misma tarjeta, pero tu número de teléfono sí es tuyo, o al menos del titular del contrato
#56 Ok, genial. Que manden también el SMS, pero que no quiten la tarjeta de coordenadas.
"Los siete bancos afectados son Caixabank, Bankinter, Bankia, BBVA, EVO Banco, Kutxabank y Santander"
Me di cuenta porque me ponía que tenía saldo en la cuenta.
Mi banco nunce me pide la tarjeta y el ccv, pero entiendo el concepto. Es que solo se les ocurren maldades.
#1 Si toda esa capacidad se usara para el bien...
y en iOS no? Que raro con lo guay que es Android y lo malo que es iOS... :roll:
#15 Porque en iOS sólo puede hacer lo que Apple quiera o te deje hacer. En Android eres mayormente libre (si quieres). Y, ya sabes, la libertad conlleva responsabilidad...
#21 la libertad de tener un market plagado de malware
#38 ya sabia yo que alguno se picaría :-P #triggered

#29
1- Yo no hecho en falta nada a mi telefono, a que cosas te refieres?
2- Yo le veo sentido que haya que pagar, al fin y al cabo las apps hacen dinero, porque no lo iba a hacer Apple que es la que mantiene los servidores y la store? Y si encima sirve para paliar problemas de malware, me parece aun mejor.
3- Bueno, se pueden instalar cosas con una cuenta de desarrollador sin tener que pasar por la Apple store, eso lo sabías?

#21 Ay la libertad!... pues yo no he notado la falta de nada en mis años de usuario de Apple, que cosas puedes hacer en Android que no se pueda en iOS? (Pregunta legitima)
#48 Kodi
#50 VLC, Plex?
#52 Esperaba una respuesta como Stremio por ejemplo, que tampoco da la funcionalidad de Kodi.
Estoy con #71, y soy usuario de Apple.
#79 ains, siento haberle decepcionado, yo es que soy mas de PopcornTime que Stremio, pero gracias por el aporte, lo probaré!
#48 ¿Que puede hacer Android que no se pueda hacer en iOS? Erm... ¿es broma no?

- Soporte multiventana
- Apps en funcionamiento en segundo plano
- Enviar archivos por bluetooth
- Posibilidad de usar tarjetas SD de forma nativa y elegir donde guardar algo
- 5G
- Cambiar aplicaciones por defecto
- soporte para pantallas flexibles
- Audio HiFi y jack 3.5
- Posibilidad de elegir entre codecs de audio bluetooth
- Posibilidad de cambiar el launcher/gestor de ventanas
- Youtube en segundo plano
-…   » ver todo el comentario
#64
- Soporte multiventana: Esta disponibleen iPad, en telefono no lo hecho en falta la verdad.
- Apps en funcionamiento en segundo plano: No lo he echado en falta nunca, no se bien a que procesos o apps te refieres.
- Enviar archivos por bluetooth: Se puede entre dispositivos Apple, para lo demas esta el wifi/3G
- Posibilidad de usar tarjetas SD de forma nativa y elegir donde guardar algo: Con 256GB de espacio en el movil para que quiero una SD?
- 5G: El uso de una tecnología que apenas se ha…   » ver todo el comentario
#70 Resumiendo: tu no lo usas... es una tonteria... para que.... xD

La diferencia es: con Android si puedes, con iOS no. Para todo lo demas, una Atari.

Buena tarde
#71 Resumiendo: Cuando la gente habla de tener mas libertad con Android se refiere a fricadas que el 90% de mortales no necesita, es mas, ni el mas friqui de turno las necesita, como mucho para grabarse un video en Youtube diciendo "veis? con android puedo hacer esto!" y ya.
#73 No, libertad en Android, es que tienes la posibilidad de hacer o usar todo eso si te da la gana y no porque una empresa decida que ha de hacer, como ha de usar y como han de coger el dispositivo sus usuarios.

En mi caso y por trabajo, el mio lo uso como gestor de maquinas virtuales, virtualizando diferentes sistemas operativos utilizado cualquier hardware (teclado, raton o usb ethernet) que tengan por ahi, sin necesidad de preocuparme por si tiene o no una manzanita.

Ahora bien, si para…   » ver todo el comentario
#74 "En mi caso y por trabajo, el mio lo uso como gestor de maquinas virtuales, virtualizando diferentes sistemas operativos utilizado cualquier hardware (teclado, raton o usb ethernet) que tengan por ahi, sin necesidad de preocuparme por si tiene o no una manzanita."

Vamos, lo tipico que necesita hacer todo el mundo con su movil....

Se ven en como dices lo de 'una manzanita' que eres un hater asi que no me voy a poner a discutir contigo :hug:

"No, libertad en Android, es que…   » ver todo el comentario
#88 A ver... "Lo tipico" de un movil es llamar. Ya esta. Ahora, si quieres algo mas (un smartphone) ya la cosa cambia y los parametros tambien. En un Smartphone, mas es mejor: mas bateria es mayor duracion, mas capacidad es poder almacenar mas datos, etc. Intentar venderme como algo positivo el no poder (ni queriendo) hacer algo, porque "no es lo tipico que todo el mundo necesita" perdona pero es surrealista. No es que sea tipico o no, es que no puedes pq tu dispositivo no…   » ver todo el comentario
#91 Deberias comprarte un televisor libre, ya que esas empresas malvadas de televisores que no te dejan hacer lo que te de la gana, es mas, con la lavadora tambien! No uses esas lavadoras propietarias malvadas!

Lo que hay que oir.
#93 Disfruta de tus rutas con el Apple Maps, que todos sabemos que es la panacea en cuanto a fiabilidad... porque cualquiera se fia de alternativas fuera de Apple como Google Maps...

Y de lavadoras o cualquier electrodoméstico... puedo repararlos fuera de la casa oficial sin perder garantia... Otra de las grandes libertades de Apple ¿verdad? disfruta de tu smartphone gama alta para ver videos de youtube (creado con software libre también), facebook (tambien creado con software libre) y tus busquedas con google (que tambien tiene software libre)... .tareas irealizables por cualquier otro telefono desde hace años...
#94 No uso Apple Maps, nadie en su sano juicio lo usaria, pero Google Maps va genial en mi iPhone :-)

Lo que no entiendo es porque no estas ya tuneando tu lavadora para que te diga los tweets del dia y cosas asi, aprovecha esa libertad, hombre!
#95 bien! una menos! ahora si quieres comparamos siri con google assistant que es muy superior, o chrome contra safari y poco a poco vamos descartando las aplicaciones que vienen por defecto una a una :-D Asi me gusta! justificando pagar un pastizal por menor hardware y aplicaciones de la competencia! Espero que tu taxi sea un Ferrari! ya que veo que no te conformas mas que con lo mejor!

PD: todas ellas funcionan en un movil de 80€ ... de hace 5 años...
#64 Que pasote android, no? se te ha olvidado lo mas importante que hace android: dispone de una amplia gama de virus y malware con los que es imposible aburrirse nunca
#85 al igual que iOS y en su misma tienda... no lo crees? toma, de hace poco: www.wandera.com/mobile-security/ios-trojan-malware/ y ademas de eso, revisa el enlace de #38 donde se indica que se estuvo explotando una vulnerabilidad en iOS de forma continuada durante 2 años y exponiendo datos de los usuarios (fotos, mensajes, ubicacion a tiempo real...). Preguntate ahora pq eso no salio en apenas ningun medio... curioso verdad? Marketing y billetes y cualquiera puede llegar a creerse cualquier cosa (como que para creadores y edicion de foto y video lo mejor es un mac, cuando tienes todos los benchmarks diciendo que photoshop, premier y todas la suite de adobe funciona mejor, mas rapido y renderiza antes en Windows) .
#90 un caso anecdotico de nada comparado con la basura que hay en android. Si tu eres feliz usando un sistema inseguro y, sobre todo, con una experiencia de usuario horrible (porque eso si que es innegable: ios le pega veintemil patadas en experiencia de usuario), tu mismo.
#96 Un caso anecdotico 2 años de explotaciones y filtraciones continuas (y porque les aviso google! porque mucha seguridad, pero en Apple no se habia enterado nadie) , el caso del fappening de fotos en pelotas de famosas con el iphone, o el de Cellebrite, que dispone de software para desbloquear cualquier iphone www.cnet.com/es/noticias/cellebrite-desbloquear-cualquier-iphone/ (por poner algunos que la lista es larga)... es como lo de Froilan disparandose en el pie (un menor con acceso a armas) y decir que "son cosas de niños" elpais.com/elpais/2012/04/13/gente/1334332715_849059.html
#15 Hay varios motivos para que en IOS no sea tan usual este tipo de cosas:

1) ios es mucho más limitado, muchas cosas no se pueden hacer ni aunque quieras

2) para publicar aplicaciones en ios hay que pagar una cuota anual. Si publicas un malware y te descubren te bloquean la cuenta y pierdes el dinero. Varias veces les han colado aplicaciones maliciosas en la tienda de Apple pero en cuanto se descubre pierden el dinero.

3) los usuarios no pueden instalar nada que no esté aprobado por apple aunque quieran. En android existe la posiblidad y mucha gente es tan idiota que instala porquerías sin preocuparse de donde vienen. Si sólo usaran la tienda oficial la mayoría de estas cosas no pasarían.
#29 Lo suyo es instalar aplicaciones oficiales en el móvil y tener una tablet donde instalar el resto.
#54 Yo hasta ahora me arreglo perfectamente instalando sólo cosas oficiales y sin piratear nada.

Sí, me pierdo esas bonitas apps para ver películas en streaming pero es que no confío nada de nada en ellas...
#57 Yo uso Kodi que es oficial con el complemento Alfa y dentro de este Megadede y a ver de todo.
#29 resumiendo: que es mucho mejor y mas seguro iOS
#86 El sistema en sí no es mejor porque es muy limitado, ni es más seguro en sí mismo porque varias veces han encontrado que con simplemente visite una web o abrir un PDF podían hacckearlo al completo.

Sin embargo el método de Apple de cobrar a los desarrolladores disuade a algunos de hacer "maldades". Y no es que no las hagan de todas formas, sino que se cuidan más y las suelen esconder mejor.
#15 ¿Para que? si ya tienen esos datos desde hace 2 años... www.genbeta.com/seguridad/google-desvela-ataques-indiscriminados-iphon
Como curiosidad, la trabajadora de Kaspersky que descubrió el malware o que informó del mismo, Tatyana Shishkova, se pasó hace unas semanas por España para dar una charla sobre NIDS como medio de detección de malware (si mal no leí).
La pantalla nunca puede ser calcada. En la web real apareces identificado: "Bienvenido, Fernando_x, introduce tu contraseña". La app maliciosa no puede saber mi nombre real.
#5 cuando entro no estoy mirando si mi nombre aparece, o si faltan mis apellidos, o si se han dejado una tilde, la verdad, si no apareciera el nombre tampoco me parecería extraño, es más, preferiría que no aparecieran datos personales hasta que me identifique
#9 Eso también se puede hacer en la mayoría. Tan solo con desmarcar la opción de recuerdame entre logins.
#5 "La app maliciosa no puede saber mi nombre real". Eso es lo que tu te crees, y luego pasa lo que pasa.
#10 En principio ese dato se guarda en los datos de la app, que no son accesibles por otras apps en circunstancias normales, y además deberían estar cifrados. A menos que se trate de un ataque personalizado contra mi persona, averiguar ese dato es un esfuerzo extra brutal en el desarrollo de la app maliciosa que no merece la pena, ya que basta que sea suficientemente buena para que algunos piquen aunque no sea perfecta.
#82 Datos cruzados.
#84 what? no. En android las apps no pueden acceder a los datos de otras apps. A menos que tengan acceso root y esos datos no estén cifrados, lo cual es un esfuerzo innecesario en apps dedicadas a cazar al incauto.
#5 Cómo mola. Sabe tu nombre antes de que te autentifiques. O sea, que lo guarda en las cookies. Genial. :palm:
#66 no, nada de cookies. Estamos hablando de apps de android. Guarda mi nombre en los datos de la app. Datos que en circuntancias normales no son accesibles por otras apps, y además deberías estar cifrados.
#81 Ah, perdona, es que en tu comentario de #5 hablabas de la web.
Y justo ahora que en ING, entre otros, hay que usar la app por cojones de la UE "para mejorar la seguridad"
#18 parece que ya lo han quitado, los cafres
#32 El qué
#33 el requisito de usar la app
#35 No. Para realizar operaciones hay que usar la app. Por web solo se puede consultar.

Es una normativa europea. Pronto va a ser así en toda la banca electrónica.
#37 es que no es cierto, eso es la trola que ha estado diciendo ING para no reconocer la mala decisión que han tomado. La normativa exige el uso de un segundo factor de identificación, y el número de teléfono es un buen identificador de la persona, por eso se está estandarizando entre la banca. Pero para autentificar el número no es necesaria una app, sino un sms o una llamada. Obligar a autentificar el sms mediante la app es una mala idea de ING, no es necesario
#49 Lo que pasa es que el SMS cuesta dinero, y la notificación no. Si quieres un banco que no te cobre nada, perfecto, pero los SMS a ellos no se los regalan.
#68 el sms te lo envían igualmente para activar la app y dura 3 meses, y también lo envían para otras operaciones como activar la huella, no creo que la motivación haya sido el ahorro
#37 #18

La nueva normativa de la UE no obliga a usar app, como bien dijo #49 de una forma más resumida.
Lo que se obliga es a usar 2 sistemas de autentificación, a elegir entre 3.
También se suele llamar autentificación en 2 pasos.

Según los expertos en seguridad, el mejor sistema de seguridad es el que se basa en 3 factores: algo que tienes, algo que sabes y algo que eres.

El algo que tienes suele reducirse a un teléfono móvil o bien a un DNI electrónico. La idea es que…   » ver todo el comentario
Como diría mi madre... Si utilizaran todo ese ingenio para hacer el bien, se acabaría el hambre en el mundo.
#44 por eso he puesto ese ejemplo, tiene lo mismo que ver que tu comentario, es decir, algo pero poco
#14 podríamos hablar también de naranjas, tiene casi lo mismo que ver
#43 Sí. La cuenta naranja también tiene que ver.
"...Cuando el malware se inicia por primera vez en el dispositivo, comenzará eliminando su icono del cajón de aplicaciones, ocultándolo del usuario final. En el segundo paso, le pide a la víctima el privilegio del Servicio de Accesibilidad..."
"...Una vez que el usuario concede el privilegio del Servicio de Accesibilidad solicitado, Ginp comienza otorgándose permisos adicionales, como los permisos (dinámicos) necesarios para poder enviar mensajes y hacer llamadas,…   » ver todo el comentario
Aprovecho para comentar dada la frecuencia de anuncios televisivos por parte de EVO Banco, que este último es propiedad de Bankinter.
#6 así es, banco surgido del rescate a las cajas de ahorros, que terminó vendido a la banca privada por cuatro duros
#11 Que hay mucho iluminatti que necesita ser informado de ello.
#6 Qué repelente me resulta ese señor del anuncio.
#67 Es insoportable. Para mí, es publicidad negativa.
gracias a los rescates con dinero público ya no hay que decir "bancos y cajas de ahorros", solo "bancos"
El otro dia discutiendo con la del banco,porque decia que usar las apps bancarias eran mas seguras que a traves de la web.Le dije que se equivocaba de parte a parte (al menos en el PC tienes antivirus,cortafuegos,etc, que pueden paliar mejor la seguridad para acceder al bco a traves de la pagina web y que en los moviles todo eso es imposible por las caracteristicas de los S.O usados) y ella erre que erre de que no era asi,que nunca habia ocurrido nada en todos los años que llevan funcionando…   » ver todo el comentario
golfooooooos!!!
Chorizosssss!!
«12

menéame