Phantom Check

Phantom Check es una sofisticada campaña de vigilancia que convierte el navegador de la víctima en una plataforma completa de espionaje mediante ingeniería social. Utiliza una falsa página de verificación de seguridad de Google para engañar a los usuarios y que instalen una Aplicación Web Progresiva (PWA) maliciosa, otorgando así al atacante acceso remoto total (RAT) a través del navegador, con una capa opcional de malware nativo para Android.

Nombres Alternativos / Aliases

• Google RAT (Nombre descriptivo de su funcionalidad principal).
• Falsa Verificación (Traducción del nombre de la campaña).
• Operación Prisma (Por el dominio de C2 utilizado, google-prism[.]com).
• RAT del Navegador (Por su innovador método de operar dentro del navegador).
• Campaña PWA maliciosa (Por el vector de ataque técnico).

Fecha de Detección / Actividad

• Período de Actividad Observado: Desde al menos el 27 de febrero de 2026 (fecha del informe de Stefan Dasic).
• Fecha de Divulgación Pública: 27 de febrero de 2026.
• Estado: Activo. La campaña utiliza infraestructura legítima (Cloudflare) y técnicas de evasión, y se encuentra en plena fase de distribución.

Actor de Amenaza (Atribución)

• Atribución: No atribuida a un grupo específico o conocido.
• Tipo de Actor: Actor de amenazas (cibercriminales o grupo de vigilancia) que prioriza la recolección masiva de datos personales y financieros.
• Sofisticación: Alta. La campaña demuestra un conocimiento profundo de las APIs modernas de los navegadores (Contact Picker, WebOTP, Background Sync, Push Notifications, WebSockets) y las capacidades de las PWAs para evadir detección y persistir en el tiempo. El diseño de la interfaz de phishing imita a la perfección las alertas legítimas de Google.

Resumen Ejecutivo

Phantom Check es una campaña de ingeniería social que secuestra el navegador de la víctima. El ataque comienza con una página web que imita una alerta de seguridad legítima de la cuenta de Google. Guía al usuario a través de un proceso de cuatro pasos para "proteger" su cuenta, que en realidad consiste en conceder permisos peligrosos del navegador: instalar la página como una PWA (eliminando la barra de direcciones para aumentar el realismo), habilitar notificaciones push (creando un canal de C2 persistente), compartir la lista de contactos y proporcionar la ubicación GPS en tiempo real. Una vez comprometido, el navegador se convierte en un proxy controlado por el atacante, capaz de escanear la red interna, robar datos del portapapeles (incluyendo contraseñas de un solo uso y direcciones de criptomonedas), e interceptar SMS de verificación. Para las víctimas más vulnerables, el sitio ofrece una segunda etapa: un APK nativo de Android ("System Service") que, si se instala, transforma el dispositivo en un implante de vigilancia total con keylogger, grabación de pantalla y acceso a llamadas y micrófono. Lo que hace única a esta campaña es que no requiere exploits; todo su poder reside en abusar de funcionalidades legítimas del navegador, presentadas como medidas de seguridad.

Vectores de Ataque

• Sitio Web de Phishing: El vector principal. El usuario es dirigido a una página que imita una alerta de seguridad de Google. El método de entrega inicial no se especifica, pero podría ser por correo electrónico, SMS (smishing) o anuncios maliciosos (malvertising).
• Ingeniería Social (El núcleo del ataque): El atacante no fuerza la entrada; convence al usuario de que le otorgue todos los permisos voluntariamente bajo el pretexto de una "verificación de seguridad".
• Aplicación Web Progresiva (PWA) Maliciosa: La instalación de la PWA es crucial para eliminar la barra de direcciones y alojar el service worker persistente.
• Descarga Lateral (Sideloading) de APK: Para la capa nativa de Android, se engaña a la víctima para que descargue e instale una "actualización de seguridad" desde una fuente no oficial.

Técnicas, Tácticas y Procedimientos (TTPs)

Táctica (MITRE ATT&CK)	Técnica	Descripción / Implementación
Acceso Inicial (TA0001)	Phishing (T1566)	Direccionamiento de usuarios a un sitio web malicioso que imita una página de seguridad de Google.
Ejecución (TA0002)	Ejecución de Comandos y Scripting (T1059)	Ejecución remota de código JavaScript arbitrario en el navegador de la víctima a través del comando eval enviado por WebSocket.
Persistencia (TA0003)	Aplicación Web Progresiva (PWA)	La instalación de la PWA mantiene el "acceso" al navegador en su propia ventana, sin barra de direcciones. El service worker permanece registrado.
Persistencia (TA0003)	Service Worker (T1588)	El service worker malicioso se mantiene activo en segundo plano, recibiendo comandos push y gestionando la cola de datos incluso cuando la PWA está cerrada.
Evasión de Defensas (TA0005)	Ofuscación (T1027)	La funcionalidad maliciosa se oculta tras la fachada de una página de "verificación de seguridad" de Google.
Evasión de Defensas (TA0005)	Ejecutar Código en el Lado del Cliente	El núcleo del RAT opera dentro del navegador, sin necesidad de instalar un ejecutable tradicional que pueda ser detectado por antivirus.
Descubrimiento (TA0007)	Escaneo de Red (T1046)	El kit incluye un escáner de puertos que barre la red local (subred /24) para identificar otros dispositivos y servicios internos.
Descubrimiento (TA0007)	Descubrimiento de Archivos (T1083)	(Implante Nativo) Escaneo del dispositivo en busca de datos de interés.
Colección (TA0009)	Datos del Portapapeles (T1115)	Monitoreo constante del portapapeles para robar contraseñas de un solo uso y direcciones de criptomonedas.
Colección (TA0009)	Contactos del Dispositivo (T1119)	Uso de la API Contact Picker del navegador para robar la lista de contactos de la víctima.
Colección (TA0009)	Ubicación GPS (T1125)	Captura de la ubicación GPS en tiempo real (latitud, longitud, altitud, rumbo y velocidad) de la víctima.
Colección (TA0009)	Interceptación de SMS (T1114)	Uso de la API WebOTP en navegadores compatibles para interceptar códigos de verificación por SMS. (Implante Nativo) Lectura de todos los SMS.
Colección (TA0009)	Captura de Audio (T1123)	(Implante Nativo) Activación remota del micrófono.
Colección (TA0009)	Grabación de Pantalla (T1125)	(Implante Nativo) Uso de los permisos de accesibilidad para leer el contenido de la pantalla.
Colección (TA0009)	Keylogging (T1056.001)	(Implante Nativo) Instalación de un teclado personalizado malicioso para capturar todas las pulsaciones.
Comando y Control (TA0011)	WebSocket (T1095)	Establecimiento de un canal de comunicación bidireccional (C2) a través de WebSockets para recibir comandos y exfiltrar datos.
Comando y Control (TA0011)	Notificaciones Push (T1095)	Uso de notificaciones push web como canal de C2 persistente para activar el service worker incluso cuando la PWA no está abierta.
Comando y Control (TA0011)	Sincronización en Segundo Plano (T1574)	La API Background Sync se utiliza para poner en cola y exfiltrar datos robados cuando el dispositivo recupera la conectividad.
Exfiltración (TA0010)	Exfiltración a través de C2 (T1041)	Los datos robados (contactos, ubicación, portapapeles) se envían al dominio de C2 (google-prism[.]com).
Impacto (TA0040)	Proxy de Tráfico (T1090)	El navegador de la víctima actúa como un proxy HTTP, permitiendo al atacante enrutar su tráfico a través de la IP de la víctima para acceder a recursos internos o eludir controles de acceso.
Impacto (TA0040)	Robo de Credenciales (T1530)	Robo de códigos 2FA y direcciones de criptomonedas. (Implante Nativo) Captura de credenciales mediante keylogger y servicio de autocompletar malicioso.

Flujo de Ataque (Kill Chain)

1. Entrega / Señuelo: La víctima accede a un sitio web que muestra una falsa alerta de seguridad de la cuenta de Google, probablemente a través de un enlace malicioso.
2. Instalación de la PWA (Superficie de Confianza): La página solicita al usuario que "instale" la herramienta de seguridad. Esto fija la PWA maliciosa "Security Check" en el dispositivo.
3. Concesión de Permisos (El Engaño): La víctima es guiada a través de 4 pasos de "verificación":
   • Habilita las notificaciones push (para "alertas de seguridad").
   • Selecciona y "protege" sus contactos (los cuales se envían al atacante).
   • Comparte su ubicación GPS para "verificar su identidad".
4. Establecimiento de Persistencia y C2: El service worker de la PWA se registra, creando un canal persistente a través de notificaciones push y WebSockets con el C2 (google-prism[.]com).
5. Acción en Objetivos (Vigilancia desde el Navegador):
   • El script de la página monitorea el portapapeles en busca de OTPs y direcciones de criptomonedas.
   • Intenta interceptar SMS de verificación vía WebOTP.
   • Envía latidos (/api/heartbeat) cada 30 segundos esperando comandos.
   • El atacante puede usar el WebSocket para ejecutar código JavaScript arbitrario (eval) o usar el navegador como proxy para escanear la red interna (puertos 80, 443, 8080).
6. Exfiltración Offline: Si el dispositivo está sin conexión, los datos robados se almacenan en la API de Cache del navegador. Al recuperar la conexión, Background Sync los envía al servidor.
7. Segunda Etapa (Implante Nativo - Opcional):
   • La PWA ofrece una "actualización de seguridad crítica" (APK).
   • La víctima descarga e instala com.device.sync ("System Service").
   • Se le guía para conceder 33 permisos de Android, incluyendo accesibilidad y administrador del dispositivo.
   • El implante nativo comienza a capturar pulsaciones (keylogger), leer notificaciones (códigos 2FA) y observar la pantalla.

Infraestructura Utilizada

Tipo	Ejemplos / Características	Propósito
Dominio de Comando y Control (C2)	google-prism[.]com	Dominio principal para la recepción de datos robados (contactos, ubicación, portapapeles) y envío de comandos.
Red de Distribución de Contenidos (CDN)	Cloudflare	Utilizado para enrutar el tráfico del dominio C2, ocultando la infraestructura de origen y dando una apariencia de legitimidad.
Servicio de Alojamiento Web	Servidor web no especificado	Aloja la página de phishing que imita la alerta de Google.
Aplicación Web Progresiva (PWA)	"Security Check"	El "contenedor" malicioso que aloja el service worker y elimina la barra de direcciones.
APK Malicioso (Android)	com.device.sync (Alias: "System Service")	Implante nativo que otorga capacidades de vigilancia totales a nivel de sistema operativo.

Objetivos y Sectores Atacados

• Objetivo Principal: Usuarios de Android y cualquier persona que utilice navegadores basados en Chromium (Chrome, Edge, Brave, etc.) en cualquier plataforma (Windows, Android, etc.). La campaña no discrimina por sector; es un ataque masivo.
• Objetivo Secundario: Usuarios de criptomonedas (por el robo de direcciones del portapapeles) y empleados de empresas (para usar sus navegadores como proxy y acceder a redes internas).
• Sectores Prioritarios: No aplica. Es una campaña de amplio espectro.
• Distribución Geográfica: Global.

Impacto y Riesgo

• Nivel de Riesgo: Crítico. La campaña combina un alto nivel de sofisticación técnica con una ingeniería social extremadamente efectiva.
• Impacto Potencial:
  • Compromiso Total del Dispositivo: El navegador actúa como un RAT completo, robando ubicación, contactos y actividad en tiempo real.
  • Pérdida Financiera: Robo de criptomonedas mediante la inyección/robo de direcciones de wallet y la interceptación de códigos 2FA.
  • Compromiso de la Red Corporativa: El atacante puede usar el navegador de la víctima como proxy para saltarse firewalls y atacar recursos internos de una empresa.
  • Vigilancia Masiva de la Víctima: (Con implante nativo) Exposición completa de la vida privada a través de keylogger, grabación de pantalla, micrófono y registro de llamadas.
  • Persistencia a Largo Plazo: El service worker puede mantener el acceso durante meses si no se elimina manualmente.
• Carácter de la Amenaza: Representa un cambio de paradigma en el malware, demostrando que no se necesitan exploits cuando se puede abusar de las funcionalidades del navegador con una buena historia de ingeniería social. Es una llamada de atención sobre el peligro de las PWAs maliciosas.

Recomendaciones de Mitigación

• Capacitación de Usuarios (Crítico):
  • Enseñar a los usuarios que Google NUNCA realiza comprobaciones de seguridad a través de ventanas emergentes no solicitadas que pidan instalar algo.
  • Instruir para que siempre se verifique la barra de direcciones. Si una página de "Google" se abre en su propia ventana sin barras de direcciones (una PWA), es una señal de alarma máxima.
  • Desconfiar de cualquier solicitud de permiso del navegador (notificaciones, ubicación, contactos) que no tenga un contexto claro y esperado.
• Autenticación Multifactor Robusta:
  • Evitar el SMS como segundo factor de autenticación. Utilizar aplicaciones de autenticación (TOTP) o llaves de seguridad hardware (FIDO2/WebAuthn), que no son vulnerables a WebOTP ni a la lectura de SMS.
• Configuración Segura de Navegadores:
  • Revisar periódicamente las aplicaciones instaladas (chrome://apps, edge://apps).
  • Inspeccionar y desregistrar service workers desconocidos (chrome://serviceworker-internals).
  • Gestionar los permisos de notificación, borrando los de sitios no reconocidos.
• Seguridad en Dispositivos Móviles:
  • Deshabilitar la instalación de aplicaciones de "orígenes desconocidos" (sideloading).
  • Revisar la lista de aplicaciones instaladas en busca de nombres genéricos como "System Service" o "Security Check".
  • Desconfiar de las aplicaciones que piden ser administrador del dispositivo.
• Monitoreo de Red: Las empresas deben monitorear el tráfico en busca de conexiones a dominios sospechosos como google-prism[.]com y patrones de tráfico de comando y control (WebSockets, latidos regulares) desde dispositivos de usuario.

Herramientas de Detección

• Consolas de Desarrollador del Navegador:
  • chrome://apps (y equivalentes en Edge) para listar e identificar PWAs instaladas.
  • chrome://serviceworker-internals para ver y desregistrar service workers activos.
  • chrome://settings/content/notifications para revisar y revocar permisos de notificación.
• Soluciones de Seguridad Móvil (EDR Móvil): Soluciones como Malwarebytes, Lookout, o Bitdefender Mobile Security pueden detectar el APK malicioso (com.device.sync) basándose en su comportamiento y firmas.
• Monitoreo de Red (NTA/NDR): Herramientas como Wireshark (para análisis manual) o soluciones empresariales pueden detectar tráfico hacia google-prism[.]com o conexiones WebSocket inusuales.
• Análisis de Logs Web (SIEM): La correlación de eventos de autenticación con la actividad de red puede revelar accesos anómalos mediados por el proxy de la víctima.

Referencias y Fuentes

• Dasic, S. (2026, Febrero 27). Dentro de una falsa comprobación de seguridad de Google que se convierte en un RAT del navegador. (Informe técnico original proporcionado por el usuario).
• MITRE ATT&CK Framework: Para el mapeo de TTPs.

Historial de Revisiones

Fecha	Versión	Autor	Cambios Realizados
2026-03-02	1.0	Asistente de Wiki	Creación inicial de la entrada basada en el informe técnico de Stefan Dasic.

Indicadores de Compromiso (IOCs)

Tipo	Valor
Dominio C2	google-prism[.]com (NOTA: el dominio legítimo de Google es myaccount.google.com)
SHA-256 (APK Nativo)	1fe2be4582c4cbce8013c3506bc8b46f850c23937a564d17e5e170d6f60d8c08
Nombre del Paquete (APK)	com.device.sync
Nombre de la Aplicación (APK)	"System Service" (según se muestra en el cajón de aplicaciones)
Nombre de la PWA	"Security Check"
Rutas de Exfiltración	/api/heartbeatClaves de caché como /exfil/{timestamp}-{random}

Etiquetas / Categorías

malware rat spyware phishing pwa browser-security android windows chrome edge google infostealer proxy service-worker campana-phantom-check ciberwiki