Descubren malware preinstalado en cientos de modelos de smartphones Android
Jueves 24 de
Mayo 2018
Esta semana, investigadores de Avast Thread Labs encontraron adware instalado en dispositivos no certificados por Google de fabricantes como ZTE, Archos y myPhone. Los usuarios con teléfonos afectados ven anuncios emergentes y otros problemas molestos, y debido a que el adware está instalado en un nivel de firmware, es muy difícil de eliminar.
En rigor, existen distintas variantes de los APK de malware de Android, pero funcionan todas con el mismo principio. Las app infectadas, llamadas dropppers, se instalan de forma oculta en una lista de aplicaciones del sistema en la configuración. Luego, descargan un pequeño archivo llamado manifiesto que le dice a la aplicación qué otros archivos deberá obtener.
A continuación, los descarga e instala un APK desde una URL que se encuentra en el manifiesto, y utiliza un comando estándar de Android para instalarlo. Finalmente, inicia el servicio de payload.
El payload del APK contiene marcos de anuncios de Google, Facebook y Baidu. Es capaz de detectar cualquier software antivirus, y “retener cualquier acción sospechosa en este caso”, según explicó Avast.
De lo contrario, mostrará anuncios emergentes para juegos mientras el usuario navega en su navegador predeterminado. Eso ya es una gran molestia, pero podría empeorar si el usuario realmente instalara alguno de los juegos.
Los principales países afectados son Rusia, Italia, Alemania, el Reino Unido y Francia. Avast logró desactivar el servidor dropper mediante solicitudes de eliminación, pero se restauró rápidamente utilizando otro proveedor. Los servidores de adware siguen funcionando, y muchos usuarios se han quejado al respecto, señaló la compañía.
Avast contactó a Google, que “ha tomado medidas para mitigar las capacidades maliciosas de muchas variantes de aplicaciones en varios modelos de dispositivos, utilizando técnicas desarrolladas internamente”, dijo la compañía. Específicamente, Google Play Protect debería desactivar automáticamente las apps afectadas desde su tienda.
A continuación, los descarga e instala un APK desde una URL que se encuentra en el manifiesto, y utiliza un comando estándar de Android para instalarlo. Finalmente, inicia el servicio de payload.
El payload del APK contiene marcos de anuncios de Google, Facebook y Baidu. Es capaz de detectar cualquier software antivirus, y “retener cualquier acción sospechosa en este caso”, según explicó Avast.
De lo contrario, mostrará anuncios emergentes para juegos mientras el usuario navega en su navegador predeterminado. Eso ya es una gran molestia, pero podría empeorar si el usuario realmente instalara alguno de los juegos.
Los principales países afectados son Rusia, Italia, Alemania, el Reino Unido y Francia. Avast logró desactivar el servidor dropper mediante solicitudes de eliminación, pero se restauró rápidamente utilizando otro proveedor. Los servidores de adware siguen funcionando, y muchos usuarios se han quejado al respecto, señaló la compañía.
Avast contactó a Google, que “ha tomado medidas para mitigar las capacidades maliciosas de muchas variantes de aplicaciones en varios modelos de dispositivos, utilizando técnicas desarrolladas internamente”, dijo la compañía. Específicamente, Google Play Protect debería desactivar automáticamente las apps afectadas desde su tienda.
Con información de
lavoz
