16 de enero de 2018

Los analistas de virus de la empresa Doctor Web detectaron en el catálogo Google Play varios juegos para el SO Android con un troyano incrustado Android.RemoteCode.127.origin. Este troyano sin autorización descarga e inicia los módulos extra que realizan varias funciones nocivas. Por ejemplo, simulan las acciones de usuarios al abrir los sitios web sin autorización y al hacer clics sobre los elementos de los mismos.

Android.RemoteCode.127.origin forma parte de una plataforma de software (SDK, Software Development Kit) llamada 呀呀云 usada por los desarrolladores para ampliar la funcionalidad de sus aplicaciones. En particular, permite a los jugadores comunicarse entre sí. Pero, además de las posibilidades declaradas, la plataforma indicada realiza las funciones troyanas, al descargar los módulos incrustados del servidor remoto sin autorización.

Al iniciar programas que tienen incrustado este SDK, Android.RemoteCode.127.origin crea una solicitud al servidor de control. En respuesta, puede recibir un comando para descargar e iniciar los módulos nocivos, capaces de realizar varias acciones. Uno de estos módulos interceptado e investigado por los expertos de Doctor Web fue llamado Android.RemoteCode.126.origin. Una vez iniciado, se conecta al servidor de control y recibe del mismo un enlace para descargar una imagen supuestamente no nociva.

En realidad, en este archivo gráfico está oculto otro módulo troyano – una versión actualizada de Android.RemoteCode.126.origin. Este método de ocultar los objetos nocivos en imágenes (estenografía) ya es conocido para los analistas de virus. Por ejemplo, se aplicó en el troyano detectado en el año 2016 - Android.Xiny.19.origin.

Una vez descifrado e iniciado, la nueva versión del módulo troyano (se detecta por Dr.Web como Android.RemoteCode.125.origin) empieza a funcionar al mismo tiempo que la antigua duplicando sus funciones. Luego este módulo descarga otra imagen que también tiene oculto un componente nocivo. Fue llamado Android.Click.221.origin.

Su tarea principal es abrir los sitios web sin autorización y hacer clics sobre los elementos de los mismos– por ejemplo, enlaces y banners. Para realizarlo, Android.Click.221.origin descarga un script del servidor indicado por el servidor de control y permite a este script realizar varias acciones en la página, así mismo, simular los clics sobre los elementos indicados por el script. De esta forma, si la tarea del troyano era seguir los enlaces o los anuncios publicitarios, los malintencionados sacan beneficio por falsificar las consultas de las páginas web y hacer clics sobre banners. Pero no es toda la funcionalidad de Android.RemoteCode.127.origin – los creadores de virus son capaces de crear otros módulos troyanos que realizarán otras acciones nocivas. Por ejemplo, visualizar las ventanas phishing para robar los nombres de usuario y las contraseñas, visualizar publicidad, así como descargar e instalar aplicaciones sin autorización.

Los expertos de la empresa Doctor Web detectaron en el catálogo Google Play 27 juegos donde se usaba SDK troyano. En total, fueron descargados por más de 4 500 000 titulares de dispositivos móviles. Un listado de aplicaciones con Android.RemoteCode.127.origin incrustado puede visualizarse en la tabla más abajo:

Los analistas de virus informaron a la corporación Google sobre el componente troyano en las aplicaciones indicadas, pero en el momento de publicación de la presente noticia, las mismas aún estaban disponibles para descargar. A los titulares de tabletas y smartphones en Android que instalaron los juegos con el troyano Android.RemoteCode.127.origin, les recomendamos eliminarlos. Los productos antivirus Dr.Web para Android detectan correctamente los programas con Android.RemoteCode.127.origin, por lo tanto, este troyano no es de amenaza para nuestros usuarios.

Más información sobre el troyano