Doctor Web: informe de actividad de virus para dispositivos móviles en octubre de 2015

30 de octubre de 2015

Número de entradas para programas nocivos y no deseados bajo el SO Android en la base de virus Dr.Web

Amenaza «móvil» del mes

A principios de octubre los expertos de seguridad informática detectaron otro troyano destinado para el funcionamiento en dispositivos móviles bajo la administración de iOS. El nuevo programa nocivo llamado IPhoneOS.Trojan.YiSpecter.2 por clasificación Dr.Web, se difundía por los malintencionados principalmente entre los habitantes de China y podía descargarse a sus dispositivos móviles como si fuera una aplicación inofensiva. En particular, al visitar varios recursos web eróticos, para ver los vídeos para adultos, a los usuarios se les ofrecía instalar un reproductor de vídeo especial que disponía de esta funcionalidad, pero en realidad contenía un troyano. Así mismo, como los creadores de virus aplicaban el método corporativo de distribución del software que permite a los usuarios de iOS obtener programas esquivando el catálogo App Store, en caso de aceptar la instalación, IPhoneOS.Trojan.YiSpecter.2 podía instalarse tanto en smartphones y tabletas con «jailbreak», como a dispositivos con la versión del SO no modificada.

IPhoneOS.Trojan.YiSpecter.2 tiene la siguiente funcionalidad nociva:

• envía al servidor remoto la información sobre el dispositivo móvil infectado;
• instala los módulos troyanos adicionales, necesarios para su funcionamiento;
• por comando del servidor administrativo, puede desinstalar los programas y sustituirlos por copias falsificadas;
• visualizar la publicidad en la pantalla de dispositivos iOS;
• si el usuario borra un troyano o sus componentes, alguno de los módulos nocivos volverá a instalarlos.

Troyanos en Google Play

El mes pasado fue detectado otro caso de ubicación de un troyano en Android en un catálogo oficial de aplicaciones Google Play. El programa nocivo añadido a la base de virus Dr.Web como Android.PWS.3, se ocultaba en un reproductor de audio aparentemente inofensivo que permitía escuchar música ubicada en la red social «VKontakte». Una vez iniciado, este troyano le pedía al usuario que no sospechaba nada su nombre de usuario y la contraseña de su cuenta de usuario, iniciaba sesión en la red social y de verdad proporcionaba acceso a la músico, pero al mismo tiempo, sin que sus víctimas lo notaran, transmitían a los malintencionados los datos confidenciales introducidos. Luego Android.PWS.3 se conectaba al abonado remoto de creadores de virus desde el cual obtenía un listado de varios grupos de la red «VKontakte», donde añadía automáticamente los usuarios víctimas, así mismo, mejorando de forma falsa la popularidad y el número de consultas de comunidades en línea correspondientes.

Troyanos en firmware

Casi todos los meses los analistas de virus de Doctor Wreb detectan los nuevos casos de ubicación de varias aplicaciones nocivas en firmware Android. Lo mismo pasó en octubre, cuando en varios dispositivos móviles fue detectado un troyano preinstalado Android.Cooee.1. Este programa peligroso está en una aplicación -launcher (caparazón gráfico de Android) y contiene algunos módulos específicos destinados para visualizar la publicidad. Así mismo, el troyano puede descargar e iniciar de forma invisible tanto los paquetes de publicidad adicionales, como otras aplicaciones, incluido el software nocivo. En particular, entre los archivos descargados por el mismo fue detectado el troyano Android.DownLoader.225, destinado para la descarga oculta de varios programas.

Cabe destacar que si los usuarios víctimas del troyano borran el launcher que contiene Android.Cooee.1, el funcionamiento de su dispositivo móvil infectado será dañado, porque al volver a iniciar el mismo, el sistema operativo no se podrá iniciar el sistema operativo correctamente. Por eso, antes de intentar desinstalar el programa nocivo, previamente hay que instalar cualquier versión alternativa del software correspondiente y en la configuración del sistema indicarla como caparazón predeterminado.

Troyanos bancarios

Entre las aplicaciones en Android nocivos detectados en octubre otra vez había muchos troyanos bancarios creados para robar dinero. Uno de ellos fue el banker Android.BankBot.80.origin , detectado a finales del mes, que se difundía por los creadores de virus como si fuera un software legal de una entidad de crédito rusa importante. Una vez iniciado en smartphones y tabletas objetivo, Android.BankBot.80.origin obliga al usuario a proporcionarle los derechos de administrador del dispositivo móvil, y luego envía por todos los números encontrados en su libreta de contactos un mensaje SMS de tipo «Hola, vota por mí http://******konkurs.ru/». Al consultar este sitio web supuestamente destinado al concurso de fotografía, a los dispositivos de las víctimas potenciales automáticamente se descarga una de las versiones del banker detectadas por el Antivirus Dr.Web para Android como Android.SmsBot.472.origin. Además, en este portal a los titulares de dispositivos móviles para votar se les ofrece instalar un programa especial que en realidad es otra versión de Android.BankBot.80.origin.

Peculiaridades de este troyano:

• se difunde como si fuera un software legal, por ejemplo, una aplicación bancaria oficial o un programa para votar en un concurso de fotos;
• obliga a los usuarios a proporcionarle los derechos de administrador del dispositivo móvil, para lo cual visualiza constantemente una solicitud correspondiente, impidiendo un trabajo normal con Smartphone o tableta;
• envía a todos los números de teléfono de la libreta de contactos los mensajes SMS con un enlace al sitio web de los malintencionados desde el cual a los dispositivos de las víctimas potenciales se descarga una modificación de esta aplicación nociva;
• puede robar dinero de cuentas de móviles, tarjetas bancaria, así como cuentas en sistemas de pago;
• activa la redirección de las llamadas entrantes, a resultas de lo cual los usuarios víctimas del troyano no pueden recibir llamadas.

Para más información sobre Android.BankBot.80.origin, consulte el material publicado en nuestro sitio web.

Número de entradas para troyanos bancarios Android.BankBot en la base de virus Dr.Web:

Número de entradas para troyanos multifuncionales Android.SmsSend en la base de virus Dr.Web: