Tal es el caso de iRecorder – Screen Recorder, una aplicación que logró espiar las conversaciones de los usuarios durante un buen tiempo. Vale la pena aclarar que esta app está disponible para dispositivos Android. Sin embargo, los de Google tardaron un año en desenmascarar a esta aplicación que, a través de un código malicioso, utilizó el micrófono de los celulares para grabar a sus usuarios.

ESET, una de las compañías de software especializada en ciberseguridad fue la encargada de descubrir este código malicioso. Según el informe, iRecorder no fue siempre ‘mala’. Desde septiembre del 2021, fecha en la se hizo el lanzamiento de la app, hasta un año después, iRecorder funcionó exactamente para lo decía: grabar pantalla en teléfonos Android.

La aplicación empezó a espiar a los usuarios once meses más tarde cuando se introdujo el código malicioso en una actualización. Desde entonces, iRecorder ha estado grabando un minuto de audio cada 15 minutos. Posteriormente, envió dichas grabaciones a los servidores de la app.

Te puede interesar: Android 14 llega recargado con novedades de inteligencia artificial

La aplicación logró su cometido luego de que los usuarios hubieran otorgado los permisos necesarios para ello como el de “uso de micrófono”. Lamentablemente, esta no sería la única forma en la que la app se ha aprovechado de los usuarios. ESET confirmó que iRecorder puede subir, directamente desde tu móvil, diferentes archivos a sus servidores. Por ejemplo, podían obtener páginas web, imágenes y diferentes tipos de documentos.

Este es el perfecto ejemplo de cómo una app totalmente legítima se puede convertir en una aplicación maliciosa. Gracias a la recolección de audios, los desarrolladores podrían crear una enorme base de usuarios para luego aprovecharse de ellos con sus propias conversaciones cotidianas.

Imagen: iRecorder

En su blog, Zimperium explicó que las aplicaciones se disfrazan de varios modos, por ejemplo, como códigos de descuento para Netflix o encuestas sobre el equipo favorito de la Champion League. Después por medio de phishing, con un sitio web muy parecido al de Facebook, pide los datos de la red social y así es cómo roba los datos de acceso.

También te puede interesar: ¡Ojo! Aumentan las apps piratas con malware en Android.

FlyTrap, como fue nombrado el troyano, parece estar activo desde marzo de 2021 y de acuerdo con la investigación realizada ha afectado a más de 10.000 personas. Zimperium asegura que las cuentas robadas se pueden usar como medio de propagación del troyano y usarse sin conocimiento de los usuarios para obtener información sensible de sus contactos. La empresa aseguró que el troyano fue detectado en 144 países, incluyendo Colombia.

Aunque las aplicaciones fueron dadas de baja después de ser denunciadas a Google. Zimperium resalta en su blog que hay personas que confían y descargan aplicaciones de tiendas de terceros y estas y otras aplicaciones maliciosas siguen disponibles en estas tiendas. Además, resalta que el troyano puede cambiar fácilmente y podría usarse para robar información mucho más importante.

imágenes: Zimperium.

Processing Photo fue una de las aplicaciones más populares entre las otras borradas. Esta fue descargada de la tienda 500.000 veces, al abrirla tiene varias ventanas con publicidad y prometía eliminarla si se asociaba la cuenta de Facebook desde la app. Un troyano entonces usaba una página similar al de inicio de sesión de Facebook y enviaba los datos de acceso junto a las cookies de comando del servidor al cracker.

El troyano fue encontrado por investigadores de Doctor Web, una empresa de seguridad informática y antivirus que descubrieron el troyano Android.PWS.Facebook.13 y sus variantes, primero en aplicaciones de horóscopo y haciéndole seguimiento en aplicaciones de edición de fotos.

También te puede interesar: 10 apps de la Play Store tienen un peligroso malware que da acceso a cuentas bancarias.

Las otras aplicaciones borradas de la Play Store son: App Lock Keep, Rubbish Cleaner, Horoscope Daily, Horoscope Pi, App Lock Manager, Lockit Master, Inwell Fitness y PIP Photo. Los desarrolladores fueron vetados de la tienda, lo que significa que no podrán volver a presentar aplicaciones bajo el mismo nombre a Google.

Doctor Web resalta que las aplicaciones eran completamente funcionales, lo que bajaba el nivel de alerta de los usuarios al momento de enlazar su cuenta de Facebook. Además, asegura que el troyano podría ser usado para falsificar cualquier otro sitio y, por lo tanto, robar credenciales de bancos, otras redes sociales y servicios de mail.

Una de las recomendaciones para evitar descargar este tipo de aplicaciones es leer los comentarios y reviews de los usuarios, si todas son muy buenas y en pequeños lapsos de tiempo, hay que sospechar. También es recomendable revisar el desarrollador y si tiene otras aplicaciones, explica Doctor Web.

Imagen: Doctor Web y uukplyak en Freepik. 

En mayo, el malware conocido como Trickbot se ubicó por primera vez en el primer puesto de la lista. Este es una red de bots y un troyano bancario que son capaces de robar datos financieros, credenciales de cuentas e información de identificación personal; además, puede propagarse dentro de una red y lanzar ransomware.

Una de las ventajas que tiene Trickbot es que tiene constante actualización con nuevas capacidades, características y vectores de distribución; esto le permite ser un malware flexible y personalizable que puede distribuirse como parte de campañas polivalentes. Check Point señala que,

Los 3 malwares con más ataques a empresas en Colombia:

Trickbot: Este grupo de bots y troyano entro a la lista por primera vez en abril y hoy ya se ubica en la primera posición, lo que demuestra su versatilidad y facilidad de esquivar la seguridad de las empresas. Este ha afectado a un 13.72 % de las empresas en Colombia.

Glupteba: Conocida desde 2011, Glupteba es una puerta trasera que maduró gradualmente hasta convertirse en una botnet. Para 2019 incluía una actualización de direcciones C&C a través de listas públicas de bitcoin, una capacidad integral de robo de navegador y router exploiter. Ha atacado al 11.95 % de las organizaciones en Colombia.

XMRig: Cryptojacker utilizado para minar ilegalmente la criptomoneda Monero. Este malware fue descubierto por primera vez en mayo de 2017. Ha atacado a un 11.95 % de las organizaciones en Colombia.

Top 3 del malware móvil mundial en mayo

xHelper: Aplicación maliciosa de Android que fue descubierta por primera vez en marzo de 2019. Se utiliza para descargar otras aplicaciones maliciosas y mostrar anuncios. Es capaz de esquivar los programas antivirus móviles, así como reinstalarse por sí misma en caso de que el usuario la elimine.

Triada: Es un backdoor modular para Android que garantiza privilegios a un tercero de superusuario para descargar malware.

Hiddad: Es un malware para Android que tiene como función principal mostrar anuncios. Sin embargo, también puede obtener acceso a las claves seguridad incorporadas en el sistema operativo, lo que permite a un ciberdelincuente obtener datos confidenciales del usuario.

Imagen: Elchinator en Pixabay. 

Las 21 aplicaciones, reportadas por Avast, tienen más de ocho millones de descargas en la tienda. Después del reporte, Google elimino algunas y otras están siendo investigadas por la empresa. “Las aplicaciones maliciosas usualmente se disfrazan como juegos, utilidades y entretenimiento para ser descargadas y después pone publicidad intrusiva en el dispositivo”, explica Jakub Vávra, del equipo de analistas de Avast.

También te puede interesar: ¡Ojo! Estas 17 aplicaciones contienen malware.

Esta es la lista de las 21 aplicaciones:

• Assassin Legend – 2020 NEW
• Cream Trip – NEW
• Crush Car
• Desert Against
• Find 5 Differences – 2020 NEW
• Find Hidden
• Find the Differences – Puzzle Game
• Flying Skateboard
• Helicopter Attack – NEW
• Helicopter Shoot
• Iron it
• Jump Jump
• Money Destroyer
• Plant Monster
• Props Rescue
• Rolling Scroll
• Rotate Shape
• Rugby Pass
• Shoot Them
• Shooting Run
• Sway Man

El primer consejo, por supuesto, es que si tienes alguna de estas aplicaciones la elimines inmediatamente. El segundo es que antes de descargarlas revises en nombre del desarrollador, la calificación y comentarios, esto te ayudará a evitar este tipo de apps maliciosas en tus dispositivos. Por ejemplo, en el caso de las que tienen adware, los usuarios tienden a quejarse en las tiendas sobre cómo tiene demasiados anuncios o que no pueden jugar debido a que estos son intrusivos, esto es una bandera roja para no descargarla.

Por su parte, Vávra asegura que Google hace todo lo posible por vigilar las aplicaciones que entran a la tienda, pero los desarrolladores de estas apps maliciosas siguen encontrando maneras de superar las revisiones de seguridad.

Imagen: RawPixel (Vía Freepik). 

De acuerdo con Kaspersky, en su último reporte, algunas versiones de CamScanner venían con un malware incluido, lo que hizo que fuera eliminada de Google Play Store recientemente. Pero la aplicación tiene más de 100 millones de descargas, según datos del medio Forbes, esto significa que puede que nuevos usuarios estén fuera de riesgo, pero quienes aún tiene la app en sus celulares son blanco de los criminales cibernéticos.

Para leer más sobre aplicaciones maliciosas y malware, visita este enlace.

La falla o el código malicioso se genera desde el módulo de publicidad, la aplicación es gratuita así que sus ingresos son a partir de anuncios. En un inicio CamScanner no tenía código malicioso, pero en algún momento esto cambió, explica el portal Forbes.

El malware encontrado en la aplicación es conocido como ‘Trojan Dropper’ y permite la instalación de otros malware con objetivos específicos como robar las credenciales bancarias o generar anuncios publicitarios falsos que llevan a pedir que se inicie cuentas o suscripciones en sitios web.

El portal Engadget señala que CamScanner tiene más de 1,8 millones de descargas de la tienda de Google, en su mayoría con reseñas positivas, y que esta es una forma más de recordarnos que incluso las aplicaciones más populares pueden ser víctimas de criminales cibernéticos.

Así mismo, el portal señala que las últimas versiones parecían estar libres del malware, pero igual recomienda eliminarla de nuestro celular.

En caso de que necesites con urgencia una aplicación similar, Adobe Scan app es muy similar y solo necesitas tener una cuenta en Adobe, la empresa de software de diseño estadounidense, para poder usarla. Registrarse y abrir una cuenta nueva es muy fácil, en caso de que no tengas una.

Imagen: Sigoisette (Vía iStock).

Durante la conferencia Black Hat Security, que se está llevando a cabo en Las Vegas (Estados Unidos), Maddie Stone, una investigadora del proyecto Zero de Google, aseguró que los criminales informáticos han logrado infiltrarse para que aplicaciones infectadas estén preinstaladas en los dispositivos. De este modo, pueden activar malware en cuanto un usuario activa un celular por primera vez para robar información o hacer que el celular realice distintas actividades sin que su dueño lo sepa, informó el portal Forbes.

“Cuando el malware viene preinstalado en el celular por la compañía fabricante, los daños que puede causar son mayores (en comparación con un usuario que descarga un aplicación infectada de la tienda);  por eso necesitamos mayor control, auditoría y análisis”, explicó Stone durante su conversatorio.

También te puede interesar: vetadas otras 210 aplicaciones de Google Play por malware

El proyecto de Android de fuente abierta, un sistema operativo al que las empresas le pueden hacer cambios para que se acomode a las necesidades de sus dispositivos, es una versión barata del sistema operativo de Google, pero ese es precisamente el afectado y la forma en la que los criminales informáticos se han infiltrado en diferentes celulares, según Stone, aunque no mencionó marcas específicas. Forbes resalta que los propietarios de teléfonos Samsung y Google estarían a salvo de estos ataques.

Dos tipos de malware vienen preinstalados en los teléfonos Android

Stone explicó que hasta el momento se han encontrado dos tipos de malware preinstalados en diferentes dispositivos. Uno de ellos es Chamois, que genera anuncios publicitarios, instala aplicaciones que no son visibles para el usuario, descarga plugins e inclusive puede enviar mensajes de texto que pueden ser cobrados. Este malware se encontró en 7,4 millones de dispositivos.

También te puede interesar: 25 millones de celulares infectados por malware ‘Agente Smith‘.

El segundo malware es Triada. Este es una variante de Chamois y también muestra publicidad en los dispositivos e instala aplicaciones. El portal Phone Arena destaca que muchas veces las aplicaciones maliciosas actúan escondidas en los celulares; esto quiere decir que no necesariamente vemos un ícono de una aplicación en nuestros dispositivos, pero el programa puede estar operando en segundo plano.

Esto significa que los usuarios ya no solo deben preocuparse por las aplicaciones que descargan en sus celulares desde la tienda de Google. También deben verificar las aplicaciones que vienen preinstaladas en sus teléfonos y reportar cualquier actividad extraña. Todo esto, además, reafirma la importancia de instalar un buen antivirus si uno es propietario de un celular basado en Android.

Imagen: Stevanovicigor (Vía iStock).

El malware ‘Agente Smith’ es llamado así porque tiende a reemplazar aplicaciones instaladas en los celulares por copias que contienen código malicioso, sin conocimiento del usuario, para mostrar publicidad maliciosa. Los investigadores lo comparan con lo que hacía el agente Smith en la película ‘Matrix’ (1999).

‘Agente Smith’ habría infectado 25 millones de celulares en todo el mundo, especialmente en Asia, y se han confirmado 300.000 casos en Estados Unidos y 137.000 en Inglaterra. El estudio no da cifras exactas de dispositivos afectados en Colombia, pero en la siguiente imagen podemos ver que encontraron que nuestro país también habría sido víctima de este.

Para leer otras noticias sobre Malware, visita este enlace.

Además, se habría confirmado que entre las aplicaciones afectadas estarían WhatsApp, Opera (el navegador de Internet), MX Video Player, Flipkart y SwiftKey, de acuerdo con el portal 9to5 Google. De hecho, Check Point asegura que el malware se disfrazaba u ocultaba como actualizaciones de las aplicaciones más populares para infectar un dispositivo.

¿Cómo funciona el malware ‘Agente Smith’?

De acuerdo con la investigación realizada por Check Point, ‘Agente Smith’ usa los recursos del celular para mostrar publicidad fraudulenta que beneficia económicamente a criminales informáticos. La empresa asegura que el malware incluso podría robar información bancaria de las personas cuyos celulares están infectados o espiar. De hecho, aseguran que lo que puede hacer es ilimitado debido a que puede copiar cualquier aplicación y, por ende, abusar de los permisos.

Los celulares infectados solo habrían sido aquellos que tienen sistema operativo Android. En la imagen a continuación se pueden ver las marcas afectadas.

Check Point asegura que le entregó la información pertinente a Google y la empresa habría borrado todas las aplicaciones infectadas por ‘Agente Smith’ de su tienda de aplicaciones.

Imágenes: Check Point y Ali Kerem Yücel (Vía iStock).

El estudio, que fue realizado en conjunto con Data61, una empresa de investigación científica e ingeniería, asegura que creó una red neuronal que examinó más de 1,2 millones de aplicaciones de la tienda de los celulares Android. El programa revisó los iconos y las descripciones de las apps y encontró 49.608 que falsifican las  10.000 aplicaciones más populares de la tienda, explica en su publicación de resultados. El siguiente paso, fue el de confirmar cuántas eran peligrosas y de qué tipo de vulnerabilidades se aprovechaban.

El estudio señala que de las aplicaciones halladas, 2.040 son malware y la mayoría de apps usa características similares de las más populares para engañar a los usuarios y ser descargadas; por ejemplo, íconos, descripción, colores, entre otros. Además, resaltó que cerca de 2.000 ya habían sido marcadas por antivirus como malware.

Las aplicaciones piden más permisos que las originales

Otro de los resultados del estudio es que las aplicaciones que son copia piden más permisos que las originales; además resalta que estos son de alta sensibilidad. Otras apps usan publicidad de terceros que no necesariamente llevan a sitios seguros.

También te puede interesar: Vetadas otras 210 aplicaciones de Google Play, por malware.

Muchas de las aplicaciones que son copias pueden ser identificadas como tal después de descargarlas, asegura el portal Forbes; sin embargo, asegura que es muy difícil reconocerlas como tal desde la tienda de Google, Play Store.

Así mismo, el estudio asegura que meses después de que su red neuronal encontró las aplicaciones, entre el 27 al 46 por ciento habían sido eliminadas de la tienda. Hay que resaltar que el período que estas están disponibles son entre seis hasta diez meses, tiempo suficiente para ser descargadas por una gran cantidad de usuarios.

Imagen: Pexels (Vía Pixabay).

El sitio Check Point Research, una empresa de software e investigación de seguridad cibernética, encontró que estas aplicaciones contenían adware, un tipo de software que descarga y muestra publicidad no deseada a los usuarios de manera automática. Las apps tenían más de 150 millones de descargas de Google Play, la tienda de aplicaciones de Android.

Para leer más sobre Google Play, visita este enlace.

Google fue notificado sobre el problema de las aplicaciones por parte de Check Point Research y estas fueron dadas de baja de la tienda.

A qué tenían acceso las aplicaciones

Las aplicaciones usaban el adware de su sistema para mostrar, principalmente, publicidad de fondo. Pero entre sus permisos se encontró que desde ellas también se podría hacer phishing y, además, exponía a los usuarios a otras aplicaciones. Además, Check Point Research resalta que las funcionalidades con las que estaba creada el adware posiblemente era vendidas a otros criminales cibernéticos. En la investigación encontraron que podían abrir la tienda de Google Play y mostrar aplicaciones con características y especificaciones.

Por último, estas aplicaciones permitían la instalación remota de aplicaciones en los celulares. Esto les daba autorización a los criminales cibernéticos de  instalar otros tipos de malware. Pero no solo los usuarios que descargaron las aplicaciones habrían sido afectados. Parece ser que, además, los desarrolladores habrían creado un kit de programación que vendían a otros programadores para que estos pusieran en sus aplicaciones; algunos con conocimiento de cómo y para qué era el kit, otros simplemente asumían que era un kit para instalar publicidad en su app.

“Estos kit son maneras de implementar monetización, gracias a este los desarrolladores ganaban dinero gracias a la publicidad que se muestra”, le dijo uno de los investigadores de Check Point Research al portal Forbes.

Otras aplicaciones que recolectaban información del usuario

Además, se encontraron otras 12 aplicaciones que no estaban en la tienda de Google Play con 111 millones de descargas a través de terceros que permitían a los criminales cibernéticos recolectar información sin que el usuario lo supiera. El portal Forbes resalta que estas son malware en su forma más pura.

Estas aplicaciones, básicamente, enviaban información a un servidor chino, incluyendo la lista de contactos cada vez que el celular se reiniciaba o se abría alguna de las aplicaciones. “El número de teléfono es una de las principales formas de recuperar o cambiar una contraseña en China, así que esta información podía valer mucho dinero”, le aseguró el mismo vocero al portal de noticias estadounidense.

Ahora que las aplicaciones han sido eliminadas de Google Play, es importante que revisemos si alguna de las aplicaciones que tenemos en nuestros celulares hace parte de la lista y la borremos de nuestros celulares.

También te puede interesar: Cuidado con estas 29 aplicaciones de fotografía.

A continuación, te dejamos la tabla de Check Point Research con la lista de las aplicaciones que tenían adware y malware junto al número de descargas que tuvo cada una:

Imagen: CarmenMurillo (Vía iStock).

De acuerdo con una publicación en el blog de la firma de seguridad, a primera vista las aplicaciones no tienen ningún problema. Sin embargo, cuando una persona trata de borrarlas o desinstalarlas del celular, el ícono no aparece en la lista de apps descargadas. Así mismo, en el código de la app hay ciertos paquetes que no permiten que los sistemas de seguridad de los celulares o antivirus las revisen y de este modo evitan alertar a los usuarios.

Otras aplicaciones hacían que apareciera publicidad en cuanto la persona desbloqueaba el teléfono o navegaba en Internet. Especialmente, anuncios que dirigen a las personas a contenido fraudulento, sitios web para hacer phishing y contenido pornográfico.

“Inclusive encontramos una que permitía la aparición de una ventana emergente en los navegadores que al darle clic descargaba un reproductor de contenido porno que no funcionaba aún cuando los usuarios pagaban para ver algo”, asegura la publicación de Trend Micro.

Algunas aplicaciones, especialmente embellecedoras y con filtros, simplemente simulaban estar dañadas para robar selfies. Es decir, una persona podía descargarla, tomarse una foto y al tratar de guardarla abría una serie de anuncios, pero nunca mostraba el resultado final. Las fotos son subidas a un servidor donde se guardan y pueden ser usadas para perfiles falsos.

La publicación resalta que al alertar a Google de las aplicaciones, estas fueron dadas de baja de la tienda de Android.

29 aplicaciones no tan bellas como nos hacen pensar

En la imagen a continuación podemos ver el nombre de las aplicaciones (fila del centro) que Trend Micro detectó durante su investigación y la cantidad de veces que fueron descargadas cada una.

Imagen: TrendMicro.