8 de febrero de 2018

La información sobre la difusión del troyano Android.CoinMine.15, también conocido como ADB.miner, apareció hace unos días en un blog de una empresa china que se dedica a la seguridad informática. Según los datos de investigadores chinos, la velocidad de difusión del nuevo troyano en el periodo activo fue muy importante: cada día el número de dispositivos infectados aumentaba el doble. Los expertos de Doctor Web creen que la mayoría de los dispositivos infectados son televisores “inteligentes”, porque estos dispositivos suelen tener conexión ininterrumpida a Internet con ADB.

Este troyano en Android destinado para obtener la criptodivisa Monero es capaz de infectar otros dispositivos sin participación del usuario. El programa nocivo Android.CoinMine.15 infecta los dispositivos en Android con el puerto abierto 5555 usado por la interfaz del depurador Android Debug Bridge (ADB). No solo los televisores inteligentes pueden ser infectados, sino también smartphones, tabletas, consolas de tele, rotuers, reproductores de media y receivers – es decir, los dispositivos que usan depuración por la red. Otro dispositivo potencialmente vulnerable es un equipo de una placa Raspberry Pi 3 con el SO Android instalado.

El troyano se difunde de forma siguiente. Desde otro dispositivo infectado al nodo atacado se instala la aplicación droidbot.apk, así como los archivos con nombres nohup, sss y bot.dat. Luego el archivo sss se inicia con la utilidad nohup y se convierte en demonio durante el funcionamiento. Luego extrae de bot.dat otros componentes del troyano, así mismo, el archivo de configuración en formato JSON, las aplicaciones miners (para la versión de 32- y 64-bits del SO) y una instancia del programa troyano droidbot. Una vez iniciado droidbot en el ciclo ininterrumpido de manera aleatoria genera la dirección IP e intenta conectarse al puerto 5555. En caso de haberlo hecho correctamente, el troyano intenta infectar el dispositivo detectado usando la interfaz del depurador ADB. En un flujo independiente Android.CoinMine.15 inicia una aplicación miner destinada para obtener criptomoneda Monero (XMR). La infección por programas nocivos similares puede reducir bastante el rendimiento del dispositivo, su calentamiento, así como el desgaste rápido del recurso de la batería.

En el SO Android el depurador ADB de forma predeterminada está desactivado, pero algunos productores lo dejan activado. Además, ADB por alguna razón puede ser activado por un usuario — con mayor frecuencia, los desarrolladores necesitan el modo de depuración. Según las estadísticas recopiladas por Dr.Web para Android, el depurador Android Debug Bridge está activado en un 8% de dispositivos protegidos por nuestro antivirus. Como esta configuración puede ser de amenaza potencial, un componente especial de Dr.Web – el Auditor de seguridad– advierte al usuario sobre el depurador activado y ofrece desactivarlo.

Los expertos de la empresa Doctor Web recomiendan a todos los titulares de dispositivos en Android escanear el sistema operativo en busca de configuración potencialmente peligrosa. Para realizarlo, en nuestro sitio web o en el catálogo oficial Google Play se puede adquirir Dr.Web Security Space para Android que contiene el Auditor de seguridad. Si en su dispositivo está activada, pero no se usa la depuración por USB, es mejor desactivar esta función. El troyano miner Android.CoinMine.15 se detecta y se elimina por los programas antivirus Dr.Web para Android, por lo tanto, no es de amenaza para nuestros usuarios.

Más información sobre el troyano

#Android #mining #criptodivisa