Uno de estos malware —que todavía no tiene nombre oficial— fue descubierto por la compañía de seguridad Dr. Web, que lo encontró distribuyéndose a través de ciertas aplicaciones en GetApps (la tienda de aplicaciones para dispositivos Xiaomi).

¿Por qué mi celular da clics solo? Así funciona el troyano Phantom

De acuerdo con el informe, estos malware pertenecen a la familia de troyanos para Android y funcionan de manera curiosa: para iniciarse, los virus hacen uso de TensorFlow.js (la librería de código abierto de Google) para ejecutar modelos de IA a través de navegadores web.

El troyano opera bajo una modalidad conocida como “Phantom”, la cual abre una ventana de navegador invisible y carga una página en la que comienza a hacer clic en diferentes anuncios. Lo más interesante de este virus es que, al utilizar inteligencia artificial, puede ocultar mejor su comportamiento frente a los motores de búsqueda y entender con mayor precisión la ubicación de la publicidad.

¿Puede mi celular estar infectado?

Algunas de las aplicaciones afectadas que fueron encontradas con este malware son las siguientes:

– Theft Auto Mafia: 61,000 descargas.

– Cute Pet House: 34,000 descargas.

– Creation Magic World: 32,000 descargas.

– Amazing Unicorn Party: 13,000 descargas.

– Open World Gangsters: 11,000 descargas.

– Sakura Dream Academy: 4,000 descargas.

Una advertencia importante es que, aunque los troyanos fueron encontrados principalmente en la tienda de aplicaciones de Xiaomi, también están siendo distribuidos a través de otros sitios. Por ejemplo, se hallaron apps infectadas en portales de APK (como Apkmody o Moddroid), especialmente en versiones modificadas de aplicaciones oficiales (por ejemplo, WhatsApp Blue).

Los investigadores también encontraron que las versiones infectadas de estas aplicaciones estaban siendo compartidas a través de ciertos canales de Telegram e incluso en un servidor de Discord llamado “Spotify X” (especializado en distribuir una versión modificada de la aplicación de música).

Aunque la información personal de los afectados no se ve comprometida directamente, esto no significa que representen un peligro menor. Este tipo de virus suelen afectar de manera significativa el consumo de batería, el gasto de datos móviles y la estabilidad del sistema.

Imágenes: Archivo ENTER.CO

No es el primer ataque de este tipo al repositorio, que es una de las fuentes de recursos más populares con los desarrolladores. De hecho, ya en noviembre de 2022 se había observado un modelo de operación similar.

¿Cómo operan los paquetes infectados con Malware en Python?

La modalidad más popular para atacar a través de estos repositorios es el typosquatting. ¿Qué es esto?

De manera sencilla, es un tipo de ingeniería social que hace uso de uno de los errores más comunes: pulsar mal el teclado al buscar algo en Internet.

Lo que los ladrones hacen es que determinan cuáles son los errores más comunes que cometen los desarrolladores al buscar paquetes de Python. Luego de esto recrean recursos que son idénticos al original, solo que la dirección de origen utiliza el error al escribir para salir como primer resultado y de esta manera fingir ser el original. Luego la persona descarga el malware creyendo estar en la página o recurso original.

Te puede interesar: ¿Esta AI te permite crear tu propio Pokémon, con solo texto?

De acuerdo con el reporte de Phylum en esta ocasión se buscó plantar estos paquetes infectados al imitar otros populares entre los desarrolladores como son ifulsoup, bitcoinlib, cryptofeed, matplotlib, pandas, pytorch, scikit-learn, scrapy, selenium, solana y tensorflow, por tan solo mencionar a algunos.

“Después de la instalación, un archivo JavaScript malicioso se coloca en el sistema y se ejecuta en el fondo de cualquier sesión de navegación web. Cuando un desarrollador copia una dirección de criptomoneda, la dirección se reemplaza en el portapapeles con la dirección del atacante”. Esto se logra a través de una extensión de Chromium en la carpeta de AppData. Los buscadores afectados son Google Chrome, Microsoft Edge, Brave y Opera.

El objetivo final de este tipo de Malware es el poder secuestrar transacciones de cripto que sean iniciadas por el desarrollador o cualquier persona en los equipos infectados. De acuerdo con Phylum, este tipo de ataques solo incrementará en los próximos años gracias a la ‘automatización’ que se ha perfeccionado, lo que permite inundar los repositorios de este tipo.

Imágenes: imágen de Elchinator en Pixabay

El reporte fue presentado por Avast, la compañía de seguridad y proveedores del antivirus con el mismo nombre. De acuerdo con ellos, el incremento de las versiones piratas de estos juegos contagiados se ha disparado con hasta 800 casos por días.

Avast asegura que los criminales han encontrado un objetivo deseable en los videojugadores. Esto es porque suelen contar con PC de más alto nivel que son perfectos para optimizar el trabajo del virus al momento de minar las criptomonedas.

Te puede interesar: ¡Ojo! Aumentan las apps piratas con malware en Android

De acuerdo con Avast, entre los países con más casos reporteados se encuentra el Reino Unido, los Estados Unidos, Brasil, Polonia e India, siendo las Filipinas el principal afectado con más de 18.000 víctimas. El reporte también asegura que los hackers han ganado más de 2 millones de dólares.

El malware instalado tiene el nombre de Crackonosh. Para evitar ser detectado y eliminado este programa desactiva las actualizaciones de Windows y desinstala todo el software de protección que esté instalado. Los usuarios afectados comenzarán a notar síntomas de que su dispositivo está infectado ya que el programa de minado comienza a operar de manera oculta en el equipo, ralentizando el dispositivo.

Imágenes: Pixabay

10 millones de celulares Android fueron infectados con adware, publicidad invasiva, después de una actualización en diciembre de la aplicación Barcode Scanner, que sirve para escanear y crear códigos QR. La aplicación gratuita ha estado activa por años en Google Play y después de una actualización hecha en diciembre de 2020 que incluía código malicioso y esta usaba ofuscación para no ser detectado.

Los usuarios que recibieron la actualización empezaron a recibir publicidad en la aplicación, en el navegador del celular y está era invasiva, no podia cerrarse. De acuerdo con Malwarebytes, el cambio fue hecho con los mismos certificados de las versiones anteriores por lo que la culpa recae directamente en Lavabird ltda., los desarrolladores de la app.

También te puede interesar: ¡Ojo! Estas 21 aplicaciones de Android tienen malware.

Google fue notificado del malware y dio de baja la aplicación de Google Play; sin embargo, las personas que la tienen instalada deberán borrarla de manera manual de su celular para deshacerse del código malicioso.

Barcode Scanner es una aplicación que estuvo activa por muchos años en Google Play; ahora la pregunta que se hacen los investigadores de seguridad es si los desarrolladores la crearon con planes de incorporar el malware cuando alcanzara cierto número de descargas o es un problema interno de la empresa. Hasta el momento Lavabird Ltda. no ha hecho comentarios a la prensa estadounindense.

Imagen: wir_sind_klein (Vía Pixabay). 

El malware que contienen estas aplicaciones permite robar información del dispositivo como mensajes de texto y listas de contactos; además, el programa espía puede registrar “silenciosamente” a la víctima para servicios premium de protocolo de aplicaciones inalámbricas (WAP, por sus siglas en inglés), explicó Zscaler, firma de seguridad que encontró las fallas en las aplicaciones.

También te puede interesar: Falla en Instagram permitiría controlar tu teléfono de manera remota.

Después de hacerse pública la denuncia, Google eliminó las aplicaciones de su tienda y con Play Protect desactivo las aplicaciones en los dispositivos en las que estaban instaldas, explica el portal ZDNet. Sin embargo, es importante que los usuarios hagan la desinstalación de manera manual en sus celulares.

Las 17 aplicaciones con el malware son:

• All Good PDF Scanner
• Mint Leaf Message-Your Private Message
• Unique Keyboard – Fancy Fonts & Free Emoticons
• Tangram App Lock
• Direct Messenger
• Private SMS
• One Sentence Translator – Multifunctional Translator
• Style Photo Collage
• Meticulous Scanner
• Desire Translate
• Talent Photo Editor – Blur focus
• Care Message
• Part Message
• Paper Doc Scanner
• Blue Scanner
• Hummingbird PDF Converter – Photo to PDF
• All Good PDF Scanner

Google ha descrito Jocker, el malware con el que están infectadas las aplicaciones, como uno de los más persistentes y difíciles de lidiar y, desde 2017, se han eliminado más de 1.700 aplicaciones de la tienda con este programa malicioso.

Uno de los consejos para los usuarios es tener cuidado con las aplicaciones que piden una amplia gama de permisos al momento de abrirlas. Es importante pensar para qué puede necesitarlos antes de dárselos.

Imagen: madartzgraphics (Vía Pixabay). 

En este punto es importante resaltar que los investigadores no fueron particularmente claro en explicar cómo funciona esta vulnerabilidad. Lo único que revelaron es que es “prácticamente indetectable” y que involucra el envío de un mensaje especial. La compañía afirma que tiene evidencia y que esta comprobaría su existencia por al menos dos años. ZecOps ha rastreado al menos seis objetivos: miembros de una compañía de comunicaciones en Japón, una firma norteamericana importante, compañías de tecnología en Israel y Arabia Saudita, un ciudadano alemán y un periodista Europeo.

Te puede interesar: Apple permitiría dejar apps terceras como predeterminadas

El problema está en que ZecOps no ha podido obtener directamente el malware. La razón es que los mensajes ya habían sido eliminados. Esto hace que la evidencia sobre él sea escasa y la mayoría de ella se obtuviera a través de iOS. Aunque Apple no ha respondido a los descubrimientos, los investigadores creen que esta vulnerabilidad ya habría sido arreglada con alguna actualización en una Beta de iOS (seguramente 13.4.5). Pero es complicado saber cuánto daño exactamente pudo causar (incluso con lo limitado que se presenta con los descubrimientos), debido a que la misma investigación asegura que no hay muestras de que los ataques utilizando este método sean frecuentes.

Imágenes: Pexels

El sitio Check Point Research, una empresa de software e investigación de seguridad cibernética, encontró que estas aplicaciones contenían adware, un tipo de software que descarga y muestra publicidad no deseada a los usuarios de manera automática. Las apps tenían más de 150 millones de descargas de Google Play, la tienda de aplicaciones de Android.

Para leer más sobre Google Play, visita este enlace.

Google fue notificado sobre el problema de las aplicaciones por parte de Check Point Research y estas fueron dadas de baja de la tienda.

A qué tenían acceso las aplicaciones

Las aplicaciones usaban el adware de su sistema para mostrar, principalmente, publicidad de fondo. Pero entre sus permisos se encontró que desde ellas también se podría hacer phishing y, además, exponía a los usuarios a otras aplicaciones. Además, Check Point Research resalta que las funcionalidades con las que estaba creada el adware posiblemente era vendidas a otros criminales cibernéticos. En la investigación encontraron que podían abrir la tienda de Google Play y mostrar aplicaciones con características y especificaciones.

Por último, estas aplicaciones permitían la instalación remota de aplicaciones en los celulares. Esto les daba autorización a los criminales cibernéticos de  instalar otros tipos de malware. Pero no solo los usuarios que descargaron las aplicaciones habrían sido afectados. Parece ser que, además, los desarrolladores habrían creado un kit de programación que vendían a otros programadores para que estos pusieran en sus aplicaciones; algunos con conocimiento de cómo y para qué era el kit, otros simplemente asumían que era un kit para instalar publicidad en su app.

“Estos kit son maneras de implementar monetización, gracias a este los desarrolladores ganaban dinero gracias a la publicidad que se muestra”, le dijo uno de los investigadores de Check Point Research al portal Forbes.

Otras aplicaciones que recolectaban información del usuario

Además, se encontraron otras 12 aplicaciones que no estaban en la tienda de Google Play con 111 millones de descargas a través de terceros que permitían a los criminales cibernéticos recolectar información sin que el usuario lo supiera. El portal Forbes resalta que estas son malware en su forma más pura.

Estas aplicaciones, básicamente, enviaban información a un servidor chino, incluyendo la lista de contactos cada vez que el celular se reiniciaba o se abría alguna de las aplicaciones. “El número de teléfono es una de las principales formas de recuperar o cambiar una contraseña en China, así que esta información podía valer mucho dinero”, le aseguró el mismo vocero al portal de noticias estadounidense.

Ahora que las aplicaciones han sido eliminadas de Google Play, es importante que revisemos si alguna de las aplicaciones que tenemos en nuestros celulares hace parte de la lista y la borremos de nuestros celulares.

También te puede interesar: Cuidado con estas 29 aplicaciones de fotografía.

A continuación, te dejamos la tabla de Check Point Research con la lista de las aplicaciones que tenían adware y malware junto al número de descargas que tuvo cada una:

Imagen: CarmenMurillo (Vía iStock).