26 de abril de 2018

Los expertos de la empresa Doctor Web detectaron en el catálogo Google Play las aplicaciones con un troyano incrustado Android.RemoteCode.152.origin, descargadas en total más de 6 500 000 veces. Este programa nocivo descarga sin autorización e inicia los módulos extra, entre los cuales hay plugins de publicidad. Usando los mismos, el troyano descarga las aplicaciones invisibles y hace clics sobre las mismas, para que los malintencionados obtengan un beneficio.

Android.RemoteCode.152.origin – es una nueva versión del troyano Android.RemoteCode.106.origin, conocido a partir del año 2017, la empresa Doctor Web informó sobre el mismo en noviembre. Este programa nocivo era un módulo de software que los desarrolladores incrustaban en sus aplicaciones y difundían a través del catálogo Google Play. La función básica de Android.RemoteCode.106.origin es descargar de forma no autorizada e iniciar los plugins extra destinados para abrir las páginas web con publicidad y hacer clics sobre los banners de las mismas. La nueva versión del troyano realiza las mismas acciones.

Una vez iniciada por primera vez la aplicación donde está incrustado el troyano, Android.RemoteCode.152.origin empieza a funcionar automáticamente con intervalos establecidos y se reinicia de forma automática después de cada reinicio del dispositivo. De esta forma, para su funcionamiento no es necesario que el titular del dispositivo móvil use constantemente la aplicación infectada.

Al iniciar, el programa nocivo descarga del servidor de control e inicia un módulo troyano añadido a la base de virus Dr.Web como Android.Click.249.origin. A su vez, este componente descarga e inicia otro módulo basado en la plataforma de publicidad MobFox SDK. Sirve para monetizar aplicaciones. Usando la misma, el troyano crea sin autorización varios anuncios de publicidad y banners, y luego hace clics sobre los mismos de forma automática para ganar dinero para los ciberdelincuentes. Además, Android.RemoteCode.152.origin soporta el trabajo con la red de marketing móvil AppLovin, a través de la cual también descarga los anuncios de publicidad para ganar dinero extra.

Los analistas de virus de la empresa Doctor Web detectaron en el catálogo Google Play varias aplicaciones donde estaba incrustado este troyano. Todas son juegos cuyo número total de descargas superó 6 500 000. Los expertos de Doctor Web informaron a la corporación Google sobre los programas localizados, y en el momento de publicación de esta noticia algunos de los mismos han sido correctamente eliminados del catálogo. Así mismo, algunas aplicaciones fueron actualizadas y ya no contienen el módulo nocivo.

Android.RemoteCode.152.origin fue detectado en los programas siguientes:

• Beauty Salon - Dress Up Game, versión 5.0.8;
• Fashion Story - Dress Up Game, versión 5.0.0;
• Princess Salon - Dress Up Sophie, versión 5.0.1;
• Horror game - Scary movie quest, versión 1.9;
• Escape from the terrible dead, versión 1.9.15;
• Home Rat simulator, versión 2.0.5;
• Street Fashion Girls - Dress Up Game, versión 6.07;
• Unicorn Coloring Book, versión 134.

Además, durante el análisis posterior los expertos de Doctor Web detectaron un troyano en otras aplicaciones más, anteriormente ya eliminadas del catálogo:

• Subwater Subnautica, versión 1.7;
• Quiet, Death!, versión 1.1;
• Simulator Survival, versión 0.7;
• Five Nigts Survive at Freddy Pizzeria Simulator, versión 12;
• Hello Evil Neighbor 3D, versión 2.24;
• The Spire for Slay, versión 1.0;
• Jumping Beasts of Gang, versión 1.9;
• Deep Survival, versión 1.12;
• Lost in the Forest, versión 1.7;
• Happy Neighbor Wheels, versión 1.41;
• Subwater Survival Simulator, versión 1.15;
• Animal Beasts, versión 1.20.

Los ejemplos de software con el troyano Android.RemoteCode.152.origin incrustado pueden consultarse en las imágenes siguientes:

Para reducir la probabilidad de infección de dispositivos móviles con programas nocivos y no deseados, los expertos de la empresa Doctor Web recomiendan instalar las aplicaciones solo de desarrolladores conocidos y de confianza. Los productos antivirus Dr.Web para Android detectan y eliminan correctamente todas las modificaciones conocidas de los troyanos descritos en este material, por lo tanto, los mismos no son de amenaza para nuestros usuarios.

Más información sobre Android.RemoteCode.152.origin

#Android, #Google_Play, #software_de_publicidad, #troyano