Sobre las amenazas móviles

Doctor Web: informe de la actividad de virus para dispositivos móviles en el tercer trimestre del 2026

Thu, 01 Oct 2026 03:00:00 GMT

1 de octubre de 2026

Según las estadísticas de detecciones de Dr.Web Security Space para dispositivos móviles, en el tercer trimestre de 2026 se observó un repunte de la actividad de los troyanos Android.Proxy, que permiten a los ciberdelincuentes redirigir el tráfico de red a través de los dispositivos de las víctimas y anonimizar su conexión a Internet. El aumento se debió principalmente a los troyanos Android.Proxy.60.origin y Android.Proxy.61.origin, que en conjunto representaron más del 22 % de todas las detecciones de malware. Estos añaden los dispositivos infectados a botnets proxy y convierten cada uno de ellos en un nodo de salida de la red proxy correspondiente.

En comparación con el segundo trimestre, el número de ataques de troyanos bancarios Android.Banker aumentó ligeramente, y este malware, con una cuota del 18,06 %, se situó en segundo lugar. Como anteriormente, los más activos fueron los representantes de la subfamilia Android.Banker.Mamont, capaces, entre otras cosas, de interceptar el contenido de los SMS y las notificaciones con el fin de robar códigos de confirmación de un solo uso para operaciones bancarias.

Al mismo tiempo, los usuarios afrontaron con menor frecuencia los troyanos publicitarios de las familias Android.MobiDash y Android.HiddenAds. El número de detecciones durante los últimos tres meses volvió a disminuir, un 30,96 % y un 14,36 %, respectivamente, y su cuota conjunta entre el malware detectado no supera actualmente el 10 %.

Entre el software potencialmente peligroso siguen liderando los programas a los que se añade, mediante la herramienta de hacking para modding NP Manager, código basura que dificulta la comprensión de la lógica de las aplicaciones. Los creadores de virus utilizan esta técnica para proteger el malware frente a los antivirus. Por ejemplo, se emplea activamente para proteger los troyanos bancarios Android.Banker.Mamont. En el tercer trimestre, estas modificaciones (detectadas como Tool.Obfuscator.TrashCode) representaron el 69,01 % de las detecciones de aplicaciones potencialmente peligrosas.

El segundo lugar volvió a corresponder a los programas modificados mediante otras funciones de NP Manager. Por ejemplo, los ciberdelincuentes pueden ofuscar el código de los troyanos para protegerlos frente a la detección y el análisis. La cuota de estos mods (detectados como Tool.NPMod) fue del 19,16 % del total de detecciones de software potencialmente peligroso. Completan los tres primeros puestos los programas modificados mediante la utilidad Tool.LuckyPatcher. Esta utilidad descarga de Internet scripts especialmente preparados que pueden representar un peligro potencial, ya que puede crearlos cualquier persona, incluidos los creadores de virus. Los programas modificados de este modo representaron el 5,77 % de las detecciones.

Las aplicaciones no deseadas más extendidas en el tercer trimestre siguieron siendo Program.FakeAntiVirus, programas que imitan el funcionamiento de los antivirus. Informan a los usuarios de que han detectado determinadas amenazas y, para «eliminar» la infección, ofrecen adquirir la versión completa. La cuota de este software sobre el total de detecciones de programas no deseados aumentó del 44,10 % al 51,09 % con respecto al periodo de observación anterior.

El adware más extendido fueron los módulos Adware.AdPush, que se integran en aplicaciones para Android. En el tercer trimestre representaron el 39,46 % de las detecciones de amenazas de este tipo. Estos módulos muestran notificaciones publicitarias que inducen a error a los usuarios. También recopilan determinados datos confidenciales.

Durante los últimos tres meses se observó un aumento de la actividad de los módulos publicitarios Adware.Airpush: su cuota aumentó del 7,39 % al 10,34 %. Entre ellos siguen destacando las modificaciones Adware.Airpush.7.origin. Los módulos de Adware.Airpush pueden mostrar notificaciones publicitarias, banners y ventanas emergentes, y los ciberdelincuentes también los utilizan para distribuir malware.

Los usuarios continuaron afrontando el adware Adware.Opensite.15, aunque su actividad disminuyó con respecto al segundo trimestre: su cuota cayó del 14,26 % al 7,90 %. Estas aplicaciones se distribuyen bajo la apariencia de programas con trucos para obtener distintos recursos en los juegos, pero se limitan a cargar sitios web con publicidad. También perdieron presencia las aplicaciones Adware.Bastion.1.origin, que habían figurado entre las más activas durante los últimos meses. Representaron el 5,73 % de las detecciones de adware. Estas aplicaciones generan notificaciones con mensajes engañosos que advierten de supuestos errores del sistema y de falta de memoria RAM. Durante la «optimización», muestran publicidad.

Durante el tercer trimestre, los expertos del laboratorio antivirus de Doctor Web detectaron en el catálogo de Google Play numerosas aplicaciones maliciosas nuevas, entre ellas decenas de troyanos Android.Joker, que suscriben a los usuarios a servicios móviles de pago. Al analizar estos troyanos, nuestros expertos descubrieron que los creadores de virus habían ampliado las funciones de esta familia. Algunas modificaciones de Android.Joker ahora pueden no solo realizar suscripciones, sino también convertir los dispositivos infectados en nodos de salida de una botnet proxy. En Google Play también se distribuyeron nuevas aplicaciones falsas de la familia Android.FakeApp, utilizadas en distintos esquemas fraudulentos.

TENDENCIAS CLAVE DEL TERCER TRIMESTRE

Los usuarios afrontaron una elevada actividad del malware Android.Proxy, mediante el cual los ciberdelincuentes pueden redirigir el tráfico de red a través de los dispositivos de las víctimas.
Se observó un aumento del número de ataques de troyanos bancarios Android.Banker.
Continuó disminuyendo la actividad de los troyanos publicitarios Android.MobiDash y Android.HiddenAds.
En el catálogo de Google Play se detectaron decenas de aplicaciones maliciosas.
Los troyanos Android.Joker incorporaron una funcionalidad que permite convertir los dispositivos infectados en nodos de salida de una botnet proxy.

Según los datos de Dr.Web Security Space para dispositivos móviles

Android.Proxy.60.origin
Android.Proxy.61.origin: Malware que convierte los dispositivos infectados en nodos de salida de botnets proxy y permite a los ciberdelincuentes redirigir el tráfico de red a través de ellos.
Android.SpyMax.17: Spyware con una amplia variedad de funciones. Los ciberdelincuentes lo utilizan, entre otras cosas, como troyano bancario para interceptar SMS con códigos de verificación enviados por entidades de crédito.
Android.HiddenAds.4236: Un troyano diseñado para mostrar publicidad intrusiva. Los representantes de la familia Android.HiddenAds suelen distribuirse bajo la apariencia de aplicaciones inofensivas y, en algunos casos, son instalados en el directorio del sistema por otro malware. Una vez que llegan a los dispositivos Android, estos troyanos publicitarios suelen ocultar al usuario su presencia en el sistema; por ejemplo, «esconden» el icono de la aplicación del menú de la pantalla de inicio.
Android.Banker.Mamont.263.origin: Un troyano bancario que intercepta SMS con códigos de un solo uso enviados por entidades de crédito y el contenido de las notificaciones, además de recopilar otra información confidencial. Esta incluye datos técnicos sobre el dispositivo infectado, la lista de aplicaciones instaladas, información sobre la tarjeta SIM, las llamadas telefónicas y los SMS recibidos y enviados.

Program.FakeAntiVirus.1
Program.FakeAntiVirus.5.origin
Program.FakeAntiVirus.5: Detección de programas publicitarios que imitan el funcionamiento de software antivirus. Estas aplicaciones pueden inducir a error a los usuarios e informar de amenazas inexistentes o identificar erróneamente aplicaciones seguras como maliciosas. En algunos casos, para «eliminar» las amenazas supuestamente detectadas, pueden exigir la compra de la versión completa del software.
Program.FakeMoney.11: Detección de aplicaciones que supuestamente permiten ganar dinero realizando determinadas acciones o tareas. Estos programas simulan la obtención de recompensas y, para retirar el dinero «ganado», es necesario acumular una determinada cantidad. Por lo general, incluyen una lista de sistemas de pago y bancos populares a través de los cuales supuestamente es posible retirar las recompensas. Sin embargo, incluso cuando los usuarios consiguen acumular una cantidad suficiente para retirarla, los pagos prometidos no llegan. Esta entrada también detecta otro software no deseado basado en el código de estos programas.
Program.CloudInject.1: Detección de aplicaciones para Android modificadas mediante el servicio en la nube CloudInject y la utilidad para Android del mismo nombre (añadida a la base de virus de Dr.Web como Tool.CloudInject). Estos programas se modifican en un servidor remoto, mientras que el usuario interesado en modificarlos (modder) no controla qué se incorpora exactamente en ellos. Además, las aplicaciones obtienen una serie de permisos peligrosos. Una vez modificados los programas, el modder puede controlarlos de forma remota: bloquearlos, mostrar cuadros de diálogo configurables, realizar un seguimiento de la instalación y eliminación de otro software, etc.

Tool.Obfuscator.TrashCode.1
Tool.Obfuscator.TrashCode.2: Detección de programas para Android a los que se añade código basura mediante herramientas de hacking para el modding de aplicaciones. Este tipo de modificación se realiza con el fin de dificultar la comprensión de la lógica de los programas. Esta técnica se utiliza con frecuencia en troyanos bancarios y en versiones piratas de software.
Tool.NPMod.3
Tool.NPMod.1: Detección de aplicaciones para Android modificadas mediante la utilidad NP Manager. Esta utilidad contiene módulos para ofuscar y proteger el código de los programas, así como para eludir la comprobación de su firma digital después de modificarlos. La ofuscación que añade se utiliza con frecuencia en el malware para dificultar su detección y análisis.
Tool.LuckyPatcher.2.origin: Utilidad que permite modificar aplicaciones para Android instaladas (crear parches para ellas) con el fin de cambiar la lógica de su funcionamiento o eludir determinadas restricciones. Por ejemplo, con su ayuda los usuarios pueden intentar desactivar la comprobación del acceso root en aplicaciones bancarias u obtener recursos ilimitados en los juegos. Para crear los parches, la utilidad descarga de Internet scripts especialmente preparados que cualquier usuario puede crear y añadir a la base de datos común. Las funciones de estos scripts también pueden ser maliciosas, por lo que los parches creados pueden representar un peligro potencial.

Adware.AdPush.3.origin
Adware.Adpush.21846: Módulos publicitarios que pueden integrarse en programas para Android. Muestran notificaciones publicitarias que inducen a error a los usuarios. Por ejemplo, estas notificaciones pueden parecer mensajes del sistema operativo. Además, estos módulos recopilan determinados datos confidenciales y también pueden descargar otras aplicaciones e iniciar su instalación.
Adware.Opensite.15: Aplicaciones que se hacen pasar por herramientas de trucos para obtener recursos en los juegos. En realidad, están diseñadas para mostrar publicidad. Estos programas reciben de un servidor remoto una configuración según la cual cargan un sitio web determinado con anuncios: banners, ventanas emergentes, vídeos, etc.
Adware.Airpush.7.origin: Módulos de software que se integran en aplicaciones para Android y muestran distintos tipos de publicidad. Dependiendo de la versión y la modificación, pueden ser notificaciones publicitarias, ventanas emergentes o banners. Los ciberdelincuentes utilizan con frecuencia estos módulos para distribuir malware, ofreciendo instalar determinados programas. Además, estos módulos transmiten distinta información confidencial a un servidor remoto.
Adware.Bastion.1.origin: Detección de programas de optimización que crean periódicamente notificaciones con mensajes engañosos sobre una supuesta falta de memoria y errores del sistema con el fin de mostrar publicidad durante la «optimización».

Amenazas en Google Play

En el tercer trimestre de 2026, los expertos del laboratorio antivirus de Doctor Web detectaron más de 50 aplicaciones maliciosas en el catálogo de Google Play. La mayoría pertenecían a la familia de troyanos Android.Joker, que suscriben de forma no autorizada a los usuarios a servicios móviles de pago. Para ello, roban códigos de confirmación de un solo uso interceptando los SMS y el contenido de las notificaciones. Los creadores de virus distribuían estos troyanos bajo la apariencia de distintos tipos de software, incluidos servicios de mensajería, utilidades para optimizar el funcionamiento de los dispositivos, aplicaciones de cámara, herramientas de reconocimiento de texto y reproductores multimedia para ver películas y series online.

Ejemplos de aplicaciones de Google Play que ocultaban troyanos Android.Joker: Special Camera — Android.Joker.2679, Color Messages — Android.Joker.2682

Al estudiar nuevas muestras de Android.Joker, nuestros expertos descubrieron que a algunas de ellas se les había añadido una funcionalidad que permite convertir los dispositivos infectados en nodos de salida de una botnet proxy. Los ciberdelincuentes pueden utilizar esta funcionalidad para vender servicios de acceso a Internet a través de la red de las víctimas.

El análisis mostró que uno de los servidores de control de la botnet no estaba protegido mediante autenticación. Gracias a ello, los analistas de virus de Doctor Web pudieron obtener del panel de control información sobre las estadísticas de su funcionamiento, así como sobre las aplicaciones en las que se habían incorporado módulos maliciosos de Android.Joker. Según los datos disponibles a finales de agosto, más de 187.000 dispositivos estaban infectados con las versiones actualizadas de los troyanos de esta familia, mientras que el número de clientes activos de la red proxy ilegal alcanzaba los 93.

Panel web de control de una botnet proxy basada en dispositivos infectados con algunas modificaciones de Android.Joker

Entre las demás amenazas detectadas se encontraban nuevas variantes de los troyanos Android.FakeApp, capaces de cargar distintos sitios web, incluidos sitios maliciosos y fraudulentos. Se distribuían bajo la apariencia de programas para gestionar las finanzas y planificar el presupuesto familiar, aplicaciones de organización para tomar notas, programas para buscar empleo y distintos juegos. Para ocultar su verdadera finalidad, la mayoría de estos troyanos ofrecían realmente las funciones declaradas, pero, en determinadas condiciones, el malware cargaba en su lugar sitios web fraudulentos.

Ejemplos de aplicaciones falsas maliciosas Android.FakeApp que nuestros expertos detectaron en Google Play en el tercer trimestre de 2026

Por ejemplo, Android.FakeApp.2022 cargaba un sitio web en el que se mostraba una lista de «ofertas de empleo actuales» con salarios elevados y condiciones laborales atractivas. Además, en el diseño del recurso web fraudulento se utilizaba un logotipo creado con el estilo y los colores del logotipo oficial del portal ruso de servicios públicos «Gosuslugi».

Una de las ofertas de empleo supuestamente disponibles para la víctima potencial

Se ofrecía a los usuarios consultar con más detalle las ofertas de empleo que les interesaban. Para ello, debían enviar una solicitud, tras lo cual supuestamente podían «empezar a ganar dinero hoy mismo». Los ciberdelincuentes solicitaban información confidencial, incluidos el nombre y los apellidos, la edad, la nacionalidad y el número de teléfono móvil, y también ofrecían elegir una hora conveniente para recibir una llamada de un «experto».

Un sitio web cargado por el troyano recopila datos personales que los estafadores pueden utilizar posteriormente para engañar a sus víctimas

Para proteger los dispositivos Android frente a malware y software no deseado, recomendamos a los usuarios instalar los productos antivirus Dr.Web para Android.

Indicadores de compromiso

El troyano Android.MagicAd muestra publicidad saltándose todas las restricciones

Fri, 05 Jun 2026 01:00:00 GMT

Los expertos del laboratorio antivirus de Doctor Web han detectado el programa troyano Android.MagicAd, que utiliza varios métodos para esquivar las restricciones del sistema operativo Android y mostrar publicidad mientras se ejecuta en segundo plano. Uno de estos métodos es universal, mientras que otros están diseñados para dispositivos de determinados fabricantes. Entre ellos se encuentran la explotación de aplicaciones de terceros, así como el uso del reproductor multimedia del sistema.

Android.MagicAd.1 se propagaba a través del catálogo oficial de aplicaciones GetApps para dispositivos Xiaomi y permanecía oculto en más de 50 juegos y programas diferentes. Estas aplicaciones aparecían en la tienda durante un breve periodo de tiempo — por lo general, menos de un mes — y después desaparecían, siendo sustituidas por otras nuevas. Es posible que, de este modo, los ciberdelincuentes intentaran proteger Android.MagicAd.1 de a una detección prematura, manteniendo al mismo tiempo su actividad: tras ser eliminados de la tienda, los programas troyanos continúan instalados en los dispositivos de los usuarios y pueden seguir llevando a cabo actividades maliciosas. Actualmente, ninguna de las aplicaciones identificadas por nosotros con Android.MagicAd.1 está disponible para su descarga en el catálogo GetApps, y los desarrolladores que las distribuían han dejado de publicar nuevas aplicaciones con este troyano.

La investigación realizada por los analistas de virus de Doctor Web ha demostrado que las primeras versiones de Android.MagicAd.1 aparecieron en 2025 y, además del catálogo GetApps, también se detectaron en Samsung Galaxy Store.

Unos ejemplos de juegos y aplicaciones del catálogo GetApps en los que se ocultaba Android.MagicAd.1. En el momento de la publicación de esta noticia, estas y otras variantes del troyano ya no estaban disponibles para su descarga

Una parte de las funciones maliciosas de Android.MagicAd.1 está en módulos dex ocultos dentro de bibliotecas nativas cifradas ubicadas en el directorio de recursos del troyano. Durante su ejecución, este descifra dichas bibliotecas, extrae de ellas sus componentes y los pone en funcionamiento.

Antes de comenzar a mostrar publicidad, el troyano realiza una serie de comprobaciones para asegurarse de que su entorno es seguro. Por ejemplo, busca indicios de ejecución en un entorno virtual, verifica si su instalación se ha producido de forma orgánica, comprueba que la dirección IP del dispositivo infectado no figure en su lista negra, etc.

Si Android.MagicAd.1 no detecta actividad sospechosa, oculta su icono de la lista de aplicaciones del menú principal. A continuación, crea un canal de notificaciones a través del cual inicia varios servicios maliciosos persistentes necesarios para funcionar en segundo plano cuando la ventana de la aplicación maliciosa está cerrada. Después, mediante el programador de tareas, Android.MagicAd.1 crea una tarea que reinicia periódicamente los servicios encargados de supervisar el funcionamiento del canal de notificaciones y, si es necesario, volver a activarlo. Además, en dispositivos con versiones relativamente antiguas del sistema operativo Android, el troyano activa una pantalla virtual para evitar que el sistema interrumpa el funcionamiento de uno de sus componentes.

Para mostrar publicidad en segundo plano cuando su ventana está cerrada, Android.MagicAd.1 utiliza varias técnicas, seleccionadas en función del fabricante del dispositivo infectado. Estas se implementan sin solicitar explícitamente el permiso del sistema SYSTEM_ALERT_WINDOW que permite a una aplicación mostrarse por encima de otros programas.

Independientemente del método utilizado, todos los banners publicitarios se cargan en forma de actividades semitransparentes (Translucent Activity), lo que permite al troyano mostrarlos por encima de las ventanas existentes.

Unos ejemplos de la publicidad mostrada por Android.MagicAd.1

Una de las técnicas se implementa mediante intenciones (Intent) dirigidas a otras aplicaciones. Esto permite al troyano esquivar las restricciones de las versiones modernas de Android, que impiden que las aplicaciones se inicien a sí mismas. Dependiendo del modelo del dispositivo infectado, mediante esta técnica Android.MagicAd.1 muestra directamente los anuncios o bien «obliga» a las aplicaciones objetivo a mostrar banners publicitarios.

En una de las variantes de este método, los objetivos del troyano son:

el navegador Mi Browser en dispositivos Xiaomi;
un entorno gráfico Miui SystemUI en dispositivos Xiaomi;
el lanzador Amazon Fire TV Home Screen en dispositivos Amazon TV.

Todas ellas son aplicaciones del sistema en los dispositivos correspondientes, por lo que pueden procesar intenciones incluso cuando no han sido iniciadas directamente por el usuario. Mientras estas aplicaciones permanezcan activas y puedan recibir intenciones, Android.MagicAd.1 puede utilizarlas para mostrar anuncios.

Cabe destacar que, si Mi Browser está instalado en un dispositivo Xiaomi como aplicación no perteneciente al sistema, el troyano también puede utilizar este navegador para mostrar publicidad, siempre que su ventana permanezca abierta.

Cuando Android.MagicAd.1 detecta Mi Browser en un dispositivo compatible, envía a su componente DEX (detectado por Dr.Web como Android.MagicAd.1.origin) una intención diferida para iniciar la publicidad. Este componente genera su propia intención a partir de ella y la transmite al navegador, que extrae la intención original y, de acuerdo con la misma, muestra la publicidad.

La interacción con los otros dos programas es algo diferente, ya que se utilizan para activar el troyano desde el modo de ejecución en segundo plano. En primer lugar, Android.MagicAd.1 envía al módulo Android.MagicAd.1.origin una intención diferida para iniciar la publicidad, y este transmite a las aplicaciones objetivo una intención propia para activarse. Si se trata de Miui SystemUI, esta responde enviando su propia intención para iniciar el módulo. Si, por el contrario, la aplicación objetivo es Amazon Fire TV Home Screen, inicia el módulo directamente mediante el nombre de su paquete. Una vez que obtiene el control, el módulo Android.MagicAd.1.origin muestra la publicidad que recibió en la intención diferida enviada por la aplicación maliciosa principal.

Si el troyano no consigue mostrar la publicidad, intenta utilizar este método dos veces más. En caso de que siga sin éxito, trata de mostrar los anuncios directamente, sin recurrir ya a las intenciones diferidas ni a su módulo dex malicioso.

Otra variante de este método es similar a la anterior y se utiliza para usar aplicaciones en dispositivos Vivo. La diferencia radica en que la publicidad se inicia mediante Android Binder, un componente del sistema que permite la comunicación entre procesos. En este caso, el troyano tiene como objetivo las siguientes aplicaciones del sistema:

iManager,
Contactos,
Vivo Browser,
Baidu IME Customized.

Android.MagicAd.1 las inicia a través de Android Binder, enviándole intenciones convencionales mediante el contenedor de datos Parcel. Estas aplicaciones posteriormente activan el componente troyano Android.MagicAd.1.origin que, tras salir del modo de ejecución en segundo plano, muestra la publicidad.

Android.MagicAd.1 también incorpora varias técnicas adicionales para mostrar publicidad mientras se ejecuta en segundo plano, entre ellas el uso del reproductor multimedia. A diferencia de los métodos dirigidos a dispositivos específicos, esta técnica es universal y funciona en la mayoría de los modelos de distintos fabricantes. Android.MagicAd.1 descifra un archivo de audio oculto en su código y lo guarda en su directorio de trabajo. A continuación, el malware inicia una instancia propia del reproductor multimedia del sistema, configura el volumen al mínimo y la vincula al sistema global de control multimedia de Android.

Posteriormente, para mostrar la publicidad, Android.MagicAd.1 instala un receptor de difusión que monitoriza las pulsaciones realizadas en dicho reproductor. Después, mediante un comando especial de ADB, el troyano simula acciones del usuario pulsando el botón de grabación del reproductor y cerrando inmediatamente su ventana. Al pulsar este botón, se activa el receptor multimedia del sistema, lo que permite a Android.MagicAd.1 tomar el control y mostrar la publicidad.

Dr.Web Security Space para dispositivos móviles detecta y elimina de forma segura todas las versiones conocidas del malware Android.MagicAd.1, por lo que nuestros usuarios están protegidos de esta amenaza.

Indicadores de compromiso

Más información sobre Android.MagicAd.1

Más información sobre Android.MagicAd.1.origin

Baohuo, el «cardenal gris»: un backdoor para Android se apodera de cuentas de Telegram, al obtener control total sobre ellas

Thu, 23 Oct 2025 13:48:25 GMT

23 de octubre de 2025

La empresa Doctor Web ha detectado un peligroso backdoor Android.Backdoor.Baohuo.1.origin en versiones modificadas por ciberdelincuentes del messenger Telegram X. Además de poder robar datos privados — incluidos el nombre de usuario, la contraseña y el historial de chats —, este malware presenta varias características únicas. Por ejemplo, para evitar su propia detección y ocultar el hecho de la posible toma de control de la cuenta, Android.Backdoor.Baohuo.1.origin puede ocultar en la lista de sesiones activas de Telegram las conexiones desde dispositivos externos. Asimismo, puede añadir o eliminar al usuario de canales de Telegram, unirse o salir de chats en su nombre, y además oculta todas estas acciones. En la práctica, este troyano permite a los atacantes tomar el control total de la cuenta de la víctima y de las funciones del messenger, y sirve también como herramienta para inflar de forma artificial el número de suscriptores en los canales de Telegram. Los ciberdelincuentes controlan el backdoor a través de una base de datos Redis, algo que hasta ahora no se había observado en amenazas dirigidas a Android. Según las estimaciones de nuestros expertos, el número total de dispositivos infectados por Android.Backdoor.Baohuo.1.origin superó los 58.000.

La propagación de Android.Backdoor.Baohuo.1.origin empezó a mediados de 2024, lo cual confirman las modificaciones más antiguas detectadas durante su análisis. El vector principal de entrega del backdoor a los dispositivos objetivo es la publicidad dentro de aplicaciones móviles. A las potenciales víctimas se les muestran anuncios que ofrecen instalar el messenger Telegram X. Al pulsar el banner, los usuarios se redirigen a sitios maliciosos desde los que se descarga el APK troyano.

Esos sitios están diseñados como una tienda de aplicaciones, y el propio messenger se presenta en ellos como una plataforma para la búsqueda cómoda de pareja y contactos para citas. Así lo indican tanto los banners con textos publicitarios superpuestos sobre las supuestas «videollamadas gratuitas» e invitaciones a «conversar» (por ejemplo, mediante capturas de pantalla que simulan una ventana de videollamada), como las reseñas inventadas por los atacantes que aparentan ser usuarios satisfechos. Cabe destacar que en las páginas web existe la opción de elegir el idioma de la interfaz, pero las imágenes no cambian al hacerlo.

Uno de los sitios web maliciosos de los cuales se descarga la versión troyana de Telegram X. A las vítimas potenciales se les propone instalar un programa donde según las “referencias” es fácil encontrar pareja para charlas y citas

Actualmente, los ciberdelincuentes han preparado plantillas tipo con banners solo para dos idiomas: portugués, dirigido a usuarios de Brasil, e indonesio. De este modo, los residentes de Brasil e Indonesia son el principal objetivo de los atacantes. Al mismo tiempo, se supone que con el tiempo el interés de los delincuentes se extienda a usuarios de otros países.

El estudio de la infraestructura de red de los atacantes ha permitido determinar la magnitud de su actividad. De media, los analistas de virus de Doctor Web observan alrededor de 20 000 conexiones activas de Android.Backdoor.Baohuo.1.origin. De forma paralela, el número total de dispositivos infectados ha superado los 58 000. Se han visto afectados cerca de 3 000 modelos de smartphones, tabletas, reproductores/decodificadores de TV y hasta coches con ordenadores de a bordo basados en Android.

Países con mayor número de dispositivos infectados por Android.Backdoor.Baohuo.1.origin (según los datos del laboratorio antivirus de Doctor Web)

Sin embargo, Android.Backdoor.Baohuo.1.origin no se propaga solo a través de sitios maliciosos: nuestros expertos también lo han detectado en catálogos externos de aplicaciones Android, como APKPure, ApkSum y AndroidP. En la tienda APKPure, además, el mismo estaba publicado en nombre del desarrollador oficial del messenger, a pesar de que las firmas digitales del original y de la versión troyana son diferentes. Hemos notificado a las plataformas en línea en las que se detectaron las versiones troyanas de Telegram X.

Telegram X modificado con Android.Backdoor.Baohuo.1.origin implementado se propagó en APKPure en nombre del desallorrador real del messenger

El laboratorio antivirus Doctor Web detectó varias modificaciones de Android.Backdoor.Baohuo.1.origin que pueden ser divididas en 3 grupos básicos de modificaciones de Telegram X:

versiones en las que los atacantes incrustaron el backdoor en el archivo DEX ejecutable principal del messenger;
versiones en las que el backdoor, en forma de parche, se inyecta dinámicamente en el archivo DEX ejecutable mediante la utilidad LSPatch;
versiones en las que el backdoor está en un archivo DEX separado en el directorio de recursos de la aplicación y se carga de forma dinámica.

Sin importar tipo de modificación, Android.Backdoor.Baohuo.1.origin se inicializa al iniciar el propio messenger. Este sigue funcionando y, para los usuarios, parece una aplicación normal. Sin embargo, en realidad los ciberdelincuentes lo controlan por completo a través del backdoor e incluso pueden modificar la lógica de su funcionamiento.

Cuando los atacantes necesitan ejecutar una acción que no requiere intervenir en la funcionalidad principal de la aplicación, utilizan «espejos» previamente preparados de los métodos necesarios de la aplicación. Por ejemplo, con su ayuda pueden mostrar mensajes de phishing en ventanas que por su aspecto parecerán las auténticas de Telegram X.

Los métodos — son unos bloques de código separados en la estructura de aplicaciones en Android que se encargan de realización de varias tareas.

Si la acción no es estándar para la aplicación, se utiliza el framework Xposed, que modifica directamente varias funcionalidades del messenger mediante la modificación dinámica de métodos. En particular, con su ayuda se ocultan ciertos chats y dispositivos autorizados, y también se intercepta el contenido del portapapeles.

La diferencia principal entre las primeras versiones de la aplicación maliciosa y las actuales radica en la organización del control del troyano. En las modificaciones antiguas, la comunicación con los atacantes y la recepción de instrucciones se realizaba de la forma tradicional: a través de un servidor C2. Sin embargo, con el tiempo los autores del virus añadieron a Android.Backdoor.Baohuo.1.origin la posibilidad de enviar comandos adicionales mediante la base de datos Redis, al ampliar así su funcionalidad y al proporcionarle dos canales de control independientes. Además, previeron la duplicación de los nuevos comandos también a través del servidor C2 habitual por si la base de datos no estuviera disponible. Este es el primer caso conocido del uso de Redis para el control de malware dirigido a Android.

Al iniciarse, Android.Backdoor.Baohuo.1.origin se conecta al servidor C2 inicial para cargar la configuración, que entre otros datos incluye las credenciales para conectarse a Redis. A través de esta base de datos los atacantes no solo envían comandos al programa malicioso, sino que también actualizan la configuración del troyano. Entre otras cosas, asignan la dirección del servidor C2 actual y la del servidor NPS (Network Policy Server — servidor de políticas de red). Este último lo utilizan los autores del virus para conectar los dispositivos infectados a su red interna (Intranet) y convertirlos en proxies para el acceso a Internet.

Android.Backdoor.Baohuo.1.origin se conecta de forma periódica al servidor C2 a través de las llamadas API y puede recibir las tareas siguientes:

subir al servidor C2 los SMS entrantes y los contactos de la agenda del dispositivo infectado;
enviar al servidor el contenido del portapapeles al minimizar el messenger y volver a su ventana;
obtener del C2 direcciones URL para mostrar publicidad, así como la dirección del servidor para descargar una actualización del troyano en forma de archivo DEX ejecutable;
recibir claves de cifrado que se usan para enviar algunos datos al servidor C2 — por ejemplo, el contenido del portapapeles;
solicitar un conjunto de comandos para recopilar información sobre las aplicaciones instaladas en el dispositivo, el historial de mensajes, los contactos de la agenda y los dispositivos en los que se ha iniciado sesión en Telegram (la solicitud se realiza con un intervalo de 30 minutos);
solicitar al servidor C2 un enlace para descargar una actualización de Telegram X;
solicitar al servidor C2 una configuración que se guarda en forma de archivo JSON;
solicitar información a la base de datos Redis;
subir al servidor C2 información sobre el dispositivo ante cada actividad de red del messenger;
obtener del servidor C2 una lista de bots que luego se añaden a la lista de contactos de Telegram;
cada 3 minutos enviar al servidor información sobre los permisos actuales de la aplicación, el estado del dispositivo (pantalla encendida o apagada, aplicación activa) y el número de teléfono móvil junto con el nombre de usuario y la contraseña de la cuenta de Telegram;
cada minuto solicitar comandos en un formato similar al de la base de datos Redis.

Para recibir comandos a través de Redis, Android.Backdoor.Baohuo.1.origin se conecta al servidor correspondiente de los malintencionados donde registra su subcanal al que posteriormente se conectan los ciberdelincuentes. Publican en el mismo las tareas que el backdoor realiza posteriormente. El malware puede recibir los comandos siguientes:

crear una lista negra de chats que no se mostrarán al usuario en la ventana de Telegram X;
ocultar al usuario determinados dispositivos en la lista de dispositivos autorizados para su cuenta;
bloquear durante un tiempo determinado la visualización de notificaciones de los chats incluidos en la lista negra;
mostrar una ventana con información sobre la actualización de la aplicación Telegram X; al pulsarla, el usuario se redirige a un sitio web concreto;
enviar al servidor C2 información sobre todas las aplicaciones instaladas;
restablecer en el dispositivo infectado la sesión de autorización actual del usuario en Telegram;
mostrar una ventana con información sobre la actualización de Telegram X en la que se ofrece instalar un archivo APK (si el archivo no existe, el troyano lo descarga previamente);
eliminar el icono de Telegram Premium en la interfaz de la aplicación para el usuario actual;
subir al servidor C2 información extraída de las bases de datos de Telegram X, que contienen el historial de chats, los mensajes y otros datos privados;
suscribir al usuario a un canal de Telegram indicado;
abandonar un canal de Telegram determinado;
unirse en nombre del usuario a un chat de Telegram a través de un enlace proporcionado;
obtener la lista de dispositivos en los que se ha iniciado sesión en Telegram;
solicitar el token de autenticación del usuario y transmitirlo al servidor C2.

Cabe destacar que la intercepción de datos del portapapeles cuando el usuario minimiza el messenger y vuelve a su ventana permite realizar varios escenarios de robo de información privada. Por ejemplo, la víctima puede copiar una contraseña o una frase mnemotécnica para acceder a un monedero de criptomonedas, el texto de un documento importante para enviarlo por correo a socios comerciales, etc.; el troyano interceptará los datos que queden en el portapapeles y se los transmitirá a los ciberdelincuentes.

Dr.Web Security Space para dispositivos móviles detecta y elimina correctamente las versiones conocidas del backdoor Android.Backdoor.Baohuo.1.origin, por lo cual el mismo no supone peligro para nuestros usuarios.

Más información sobre Android.Backdoor.Baohuo.1.origin
Indicadores de compromiso

Doctor Web: informe de la actividad de virus para dispositivos móviles en el III trimestre de 2025

Wed, 01 Oct 2025 01:00:00 GMT

1 de octubre de 2025

Según los datos estadísticos de detecciones de Dr.Web Security Space para dispositivos móviles, en el III trimestre del año 2025 los más populares fueron los troyanos Android.MobiDash que visualizan publicidad importuna. Comparado con el periodo anterior, los mismos se detectaron en los dispositivos protegidos un 18,19 % más.

Los troyanos adware Android.HiddenAds bajaron al segundo puesto, su actividad sigue reduciendo por segundo trimestre consecutivo. Durante los últimos tres meses los usuarios afrontaron los mismos un 71,85% menos. Este malware oculta sus iconos para que sea más complicado detectar y eliminarlos, y visualizan publicidad, así mismo, los vídeos de pantalla completa.

En el tercer lugar otra vez se detectó malware falso Android.FakeApp usado por los malintencionados en varios esquemas fraudulentos. Su número de detecciones bajó un 7,49%. Estos troyanos en vez de la funcionalidad declarada cargan varios sitios web con frecuencia — por ejemplo, los de estafa y maliciosos, así como los sitios web de casinos online y las casas de apuestas.

Los troyanos bancarios más populares fueron los representantes de la familia Android.Banker, a pesar de su reducción de actividad, de un 38,88%. Los malintencionados los usan para acceder de forma ilegal a las cuentas bancarias y robar dinero. Estos troyanos pueden visualizar las ventanas phishing para robar los nombres de usuario y contraseñas, imitar el diseño de software real “banca-cliente”, interceptar los SMS para recibir los códigos de un solo uso, etc.

Los siguieron los troyanos Android.BankBot, detectados un 18,91% más frecuentemente. También intentan acceder a las cuentas de la banca en línea de usuarios, al interceptar los códigos de confirmación. Así mismo, estos troyanos bancarios pueden ejecutar varios comandos de los ciberdelincuentes, y algunos de ellos permiten administrar a distancia los dispositivos infectados.

Cierran el podio los representantes de la familia Android.SpyMax, basados en el código fuente del troyano espía SpyNote. Su detección fue un 17,25 % menor en comparación con el segundo trimestre. Este tipo de malware cuenta con un amplio conjunto de funciones dañinas, incluyendo la posibilidad de controlar los dispositivos de forma remota.

En agosto informamos sobre la campaña de propagación del backdoor multifuncional Android.Backdoor.916.origin usado por los ciberdelincuentes para robar los datos privados y supervisar a los usuarios de dispositivos en Android. Los ciberdelincuentes enviaban mensajes a posibles víctimas a través de diversas aplicaciones de mensajería, invitándolas a instalar un supuesto “antivirus” mediante un archivo APK adjunto. El laboratorio antivirus Doctor Web detectó las primeras versiones de este software malicioso ya en enero de 2025 y desde entonces continúa siguiendo su evolución. Según estimaciones de nuestros expertos, este backdoor se utiliza en ataques dirigidos y no está destinado a una propagación masiva. El principal objetivo de los cibercriminales son los representantes del empresariado ruso.

Durante el III trimestre en el catálogo Google Play se difundió múltiple malware y software no deseado instalado más de 1 459 000 veces en total. Entre los mismos — decenas de troyanos Android.Joker que suscriben a las víctimas a servicios de pago, así como software falso Android.FakeApp. Además, nuestros analistas de virus detectaron otro programa que supuestamente permitía convertir los premios virtuales en dinero real.

TENDENCIAS CLAVE DEL III TRIMESTRE

Los troyanos de publicidad Android.MobiDash fueron las amenazas más populares
Continuó la reducción de la actividad de los troyanos adware Android.HiddenAds
Creció el número de ataques de troyanos bancarios de la familia Android.BankBot
Bajó la actividad de troyanos bancarios Android.Banker y Android.SpyMax
Los ciberdelincuentes usaron un backdoor multifuncional Android.Backdoor.916.origin para atacar a los representantes de los negocios rusos
Múltiple malware se difundió en el catálogo Google Play

Según los datos de Dr.Web Security Space para dispositivos móviles

Android.MobiDash.7859: Un troyano que visualiza publicidad importuna. Es un módulo que los desarrolladores de software incrustan en aplicaciones.
Android.FakeApp.1600: Un programa troyano que carga el sitio web indicado en su configuración. Las modificaciones conocidas de este malware cargan el sitio web del casino en línea.
Android.Click.1812: Detección de mods maliciosos del Messenger WhatsApp que pueden cargar varios sitios web en modo de segundo plano sin autorización del usuario.
Android.HiddenAds.673.origin: Un programa troyano para visualizar publicidad importuna. Los representantes de la familia Android.HiddenAds frecuentemente se difunden camuflados por aplicaciones legales y en algunos casos se instalan en el catálogo del sistema por otro malware. Al penetrar en dispositivos en Android, estos troyanos adware suelen ocultar al usuario su propia presencia en el sistema — por ejemplo, «ocultan» el icono de la aplicación del menú de la pantalla principal.
Android.Triada.5847: Detección del comprimidor para los troyanos de la familia Android.Triada destinada para proteger los mismos contra el análisis y la detección. Con mayor frecuencia, los malintencionados lo usan junto con los mods maliciosos del messenger Telegram donde estos troyanos están incrustados directamente.

Program.FakeMoney.11: Detección de aplicaciones que supuestamente permiten ganar dinero al realizar alguna tarea o acción. Estos programas simulan la acumulación de recompensas, pero para retirar el dinero “ganado” se exige alcanzar una cantidad determinada. Normalmente incluyen una lista de sistemas de pago y bancos populares a través de los cuales supuestamente es posible transferir las recompensas. Sin embargo, incluso cuando los usuarios logran acumular la suma necesaria para el retiro, los pagos prometidos nunca llegan. Con esta misma detección también se identifica otro software no deseado basado en el código de estos programas.
Program.CloudInject.5
Program.CloudInject.1: Detección de aplicaciones en Android modificadas con el servicio en la nube CloudInject y la utilidad en Android que tiene el mismo nombre (añadida a la base de virus de Dr.Web como Tool.CloudInject). Estos programas se modifican en un servidor remoto, así mismo, el usuario interesado en su modificación (el modder) no controla qué exactamente se incrustará en los mismos. Además, las aplicaciones reciben un conjunto de permisos peligrosos. Una vez modificados los programas, el modder puede administrarlos a distancia — bloquearlos, visualizar los diálogos personalizados, supervisar el hecho de instalación y desinstalación de otro software, etc.
Program.FakeAntiVirus.1: Detección de adware que imita el funcionamiento de software antivirus. Estos programas pueden informar sobre las amenazas no existentes y engañar a usuarios al requerir la compra de la versión completa.
Program.TrackView.1.origin: Una aplicación que permite supervisar a los usuarios a través de los dispositivos en Android. Con este programa los malintencionados pueden detectar la ubicación de dispositivos objetivo, usar la cámara para grabar vídeos y crear fotos, realizar la escucha con micro, crear las grabaciones de audio, etc.

Tool.NPMod.3
Tool.NPMod.1
Tool.NPMod.4: Detección de aplicaciones en Android modificadas con la utilidad NP Manager. Estos programas tienen incrustado un módulo especial que permite esquivar la comprobación de la firma digital una vez modificados los mismos.
Tool.LuckyPatcher.2.origin: Una utilidad que permite modificar aplicaciones Android instaladas (crearles parches) con el fin de alterar su lógica de funcionamiento o esquivar determinadas restricciones. Por ejemplo, con ella los usuarios pueden intentar desactivar la comprobación de acceso root en aplicaciones bancarias o conseguir recursos ilimitados en juegos. Para crear los parches, la utilidad descarga de Internet los scripts preparados a propósito, que cualquier persona puede crear y añadir a la base común. La funcionalidad de esos scripts también puede ser maliciosa, por lo que los parches generados pueden suponer un peligro potencial.
Tool.Androlua.1.origin: Detección de varias versiones potencialmente peligrosas de un framework especializado para el desarrollo de aplicaciones Android en lenguaje de script Lua. La lógica principal de las aplicaciones Lua reside en los correspondientes scripts, que están cifrados y son descifrados por el interpretador antes de su ejecución. Con frecuencia, este framework de forma predeterminada solicita acceso a numerosos permisos del sistema necesarios para su funcionamiento. Como resultado, los scripts Lua ejecutados con el mismo pueden realizar varias acciones maliciosas conforme a los permisos concedidos.

Adware.AdPush.3.origin
Adware.Adpush.21846: Módulos de publicidad que pueden integrarse en aplicaciones Android. Estos muestran notificaciones publicitarias que engañan a los usuarios. Por ejemplo, dichas notificaciones pueden parecer mensajes del propio sistema operativo. Además, estos módulos recopilan ciertos datos confidenciales y también pueden descargar otras aplicaciones e iniciar su instalación.
Adware.ModAd.1: Detección de algunas versiones modificadas (mods) del messenger WhatsApp, en las que se ha insertado código para cargar enlaces concretos mediante el componente de visualización web (WebView) durante el uso de la aplicación. Desde esas direcciones web se redirige a sitios publicitarios —por ejemplo, casinos en línea, casas de apuestas y sitios para adultos.
Adware.Youmi.4: Detección del módulo de publicidad no deseado que publica los accesos directos de publicidad en la pantalla principal de dispositivos en Android.
Adware.Basement.1: Las aplicaciones que visualizan publicidad no deseada que frecuentemente lleva a los sitios web maliciosos y de estafa. Tiene base de códigos común con programas no deseados Program.FakeMoney.11.

Amenazas en Google Play

En el III trimestre del año 2025, el laboratorio antivirus Doctor Web detectó en el catálogo Google Play más de 50 troyanos de la familia Android.Joker que suscriben a los usuarios a servicios de pago. Los mismos se propagaron camuflados por software de varios tipos, incluidos los messengers, varias utilidades de sistema, editores de imágenes, software para sacar fotos, trabajar con documentos, etc.

Un troyano se ocultaba en el programa para optimizar el funcionamiento del sistema Clean Boost (Android.Joker.2412), otro — en la aplicación Convert Text to PDF (Android.Joker.2422) para convertir del texto en los documentos PDF

Además, nuestros expertos detectaron más aplicaciones falsas Android.FakeApp, usadas en esquemas fraudulentos. Al igual que antes, los ciberdelincuentes presentaban algunas de las mismas como aplicaciones financieras, manuales, guías de formación, software para acceder a los servicios de inversión. Estas falsificaciones cargaban los sitios web de estafa. Otros programas troyanos Android.FakeApp se difundían camuflados por juegos y en determinadas condiciones en vez de la funcionalidad prometida cargaban los sitios de casas de apuestas y casinos en línea.

Ejemplos de troyanos Android.FakeApp, camuflados por aplicaciones de temática financiera. Android.FakeApp.1889 ofreció a los usuarios comprobar su alfabetización financiera, y Android.FakeApp.1890 — a desarrollar el pensamiento financiero

Así mismo, nuestros expertos detectaron un programa no deseado Program.FakeMoney.16, difundido como aplicación Zeus Jackpot Mania. Los usuarios de este software recibían premios virtuales que supuestamente podían convertirse después en dinero real para usar fuera de la aplicación.

Program.FakeMoney.16 en el catálogo Google Play

Para «poder recibir» el dinero el programa solicitaba algunos datos, pero al final las víctimas no recibían ningunos pagos.

Program.FakeMoney.16 pide indicar el nombre completo del usuario y la información sobre la cuenta bancaria

Para proteger los dispositivos en Android contra malware y software no deseado, se recomienda a los usuarios instalar los productos antivirus Dr.Web para Android.

Indicadores de compromiso

Doctor Web: informe de la actividad de virus para dispositivos móviles en el II trimestre de 2025

Tue, 01 Jul 2025 06:00:00 GMT

1 de julio de 2025

Según los datos estadísticos de detecciones de Dr.Web Security Space para dispositivos móviles, en el segundo trimestre de 2025, el tipo de malware más popular volvió a ser el de los troyanos publicitarios, pertenecientes a varias familias.

La mayor actividad se registró por parte del grupo Android.HiddenAds, a pesar de que los usuarios afrontaron al mismo un 8,62 % menos que en el trimestre anterior. En segundo lugar se situaron los troyanos publicitarios Android.MobiDash, cuya participación en los ataques aumentó un 11,17 %. Cierra el podio la familia de malware Android.FakeApp, utilizada en diversas estafas, que fue detectada en dispositivos protegidos un 25,17 % menos que anteriormente.

Se observó un aumento de la actividad de los troyanos bancarios Android.Banker, con un aumento del 73,15 % en comparación con el trimestre anterior. Al mismo tiempo, algunos otros grupos de malware se detectaron con menor frecuencia. Por ejemplo, las detecciones de Android.BankBot descendieron un 37,19 %, y las de Android.SpyMax — en un 19,14 %.

En abril, nuestros analistas de virus informaron sobre una campaña a gran escala dirigida al robo de criptomonedas de propietarios de smartphones Android. En el marco de esta operación, los atacantes implementaron el troyano Android.Clipper.31 en el firmware de varios dispositivos económicos, ocultándolo en una versión modificada de la aplicación WhatsApp. Este malware intercepta los mensajes enviados y recibidos a través del messenger, busca direcciones de monederos de criptomonedas Tron y Ethereum y las sustituye por otras que pertenecen a los estafadores. Al mismo tiempo, el troyano oculta la suplantación, por lo que los usuarios de los dispositivos infectados siguen viendo en los mensajes las direcciones "correctas". Además, Android.Clipper.31 envía a un servidor remoto todas las imágenes en formatos jpg, png y jpeg con el objetivo de buscar frases mnemotécnicas vinculadas a los monederos de criptomonedas de las víctimas.

Ese mismo mes informamos sobre un troyano espía dirigido a militares rusos. El malware Android.Spy.1292.origin se ocultaba en una de las versiones modificadas del software de cartografía Alpine Quest. Se distribuía tanto a través de un canal falso en Telegram, supuestamente oficial de la aplicación, controlado por los atacantes, como a través de uno de los catálogos rusos de aplicaciones Android.

Android.Spy.1292.origin transfería a los atacantes varios datos confidenciales. Entre los mismos, las cuentas del usuario, su número de teléfono móvil, los contactos de la agenda, información sobre la geolocalización del dispositivo, así como datos sobre los archivos almacenados en él. Por orden de los delincuentes, el troyano podía robar archivos específicos. En particular, los creadores del virus estaban interesados en documentos confidenciales enviados a través de los messengers populares, así como en el archivo de registro de ubicaciones del programa Alpine Quest.

Al mismo tiempo, durante el periodo de observación, el laboratorio de virus de la empresa Doctor Web detectó nuevas amenazas en el catálogo de Google Play. Entre ellas, se detectaron varios troyanos, así como software publicitario no deseado.

Tendencias clave del II trimestre

Bajó la actividad de los troyanos de publicidad Android.HiddenAds
Aumentó la actividad de los troyanos de publicidad Android.MobiDash
Los troyanos bancarios Android.Banker se detectaron en dispositivos protegidos con mayor frecuencia que en el trimestre anterior
Bajó el número de ataques de familias de troyanos bancarios Android.BankBot y Android.SpyMax
En el firmware de algunos smartphones en Android económicos se detectó un troyano para robar criptomoneda
Los ciberdelincuentes propagaron un troyano que espiaba a militares rusos
Se detectaron nuevas amenazas en el catálogo de Google Play

Según los datos de Dr.Web Security Space para dispositivos móviles

Android.HiddenAds.657.origin
Android.HiddenAds.4214
Android.HiddenAds.4213: Troyanos diseñados para mostrar publicidad intrusiva. Los representantes de la familia Android.HiddenAds suelen propagarse camuflados por aplicaciones inofensivas y, en algunos casos, se instalan en el directorio del sistema por otro malware. Una vez en los dispositivos Android, estos troyanos publicitarios normalmente ocultan su presencia al usuario — por ejemplo, al eliminar el icono de la aplicación del menú de la pantalla de inicio.
Android.MobiDash.7859: Un programa troyano que muestra publicidad molesta. Se trata de un módulo de software que los desarrolladores integran en las aplicaciones.
Android.FakeApp.1600: Un programa troyano que carga un sitio web especificado en su configuración. Se conocen variantes de este malware que cargan páginas de casinos en línea.

Program.FakeMoney.11: Detección de aplicaciones que supuestamente permiten ganar dinero al realizar acciones o tareas. Estos programas simulan la acumulación de recompensas, y para poder retirar el dinero “ganado” se exige alcanzar una determinada cantidad. Suelen incluir una lista de sistemas de pago y bancos populares a través de los cuales, en teoría, se podrían transferir las recompensas. Sin embargo, incluso cuando los usuarios consiguen reunir la cantidad requerida para el retiro, los pagos prometidos nunca se realizan. Esta detección también abarca otro software no deseado basado en el código de estas aplicaciones.
Program.CloudInject.1: Detección de aplicaciones Android modificadas mediante el servicio en la nube CloudInject y la herramienta Android del mismo nombre (añadida a la base de virus de Dr.Web como Tool.CloudInject). Estas aplicaciones se modifican en un servidor remoto, lo que significa que el usuario interesado en modificarlas (el modder) no controla qué exactamente se implementa en las mismas. Además, las aplicaciones reciben un conjunto de permisos peligrosos. Tras la modificación, el modder puede gestionarlas de forma remota: bloquearlas, mostrar cuadros de diálogo personalizados, rastrear la instalación y eliminación de otros programas, entre otras funciones etc.
Program.FakeAntiVirus.1: Detección de programas publicitarios que imitan el funcionamiento de un software antivirus. Estos programas pueden informar sobre amenazas inexistentes y engañar a los usuarios, al demandarles el pago de una versión completa.
Program.TrackView.1.origin: Detección de una aplicación que permite espiar a los usuarios a través de dispositivos Android. Con esta herramienta, los delincuentes pueden localizar los dispositivos objetivo, utilizar la cámara para grabar vídeos y tomar fotografías, activar la escucha a través del micrófono, realizar grabaciones de audio, entre otras funciones.
Program.SecretVideoRecorder.1.origin: Detección de varias versiones de una aplicación diseñada para realizar fotos y vídeos en segundo plano mediante las cámaras integradas de dispositivos Android. Esta aplicación puede funcionar de forma discreta, al permitir desactivar las notificaciones de grabación, así como modificar el icono y la descripción de la app por otros falsos. Esta funcionalidad la convierte en una herramienta potencialmente peligrosa.

Tool.NPMod.3
Tool.NPMod.1: Detección de aplicaciones Android modificadas con la utilidad NP Manager. En estos programas se ha integrado un módulo especial que permite esquivar la verificación de la firma digital tras su modificación.
Tool.Androlua.1.origin: Detección de varias versiones potencialmente peligrosas de un framework especializado para el desarrollo de aplicaciones Android en el lenguaje de programación por scripts Lua. La lógica principal de las aplicaciones Lua está en los scripts correspondientes, que están cifrados y se descifran por el interpretador antes de su ejecución. A menudo, este framework de forma predeterminada solicita acceso a numerosos permisos del sistema para su funcionamiento. Como resultado, los scripts Lua ejecutados a través de él pueden realizar varias acciones maliciosas en función de los permisos concedidos.
Tool.SilentInstaller.14.origin: Una plataforma de software potencialmente peligrosa que permite a las aplicaciones ejecutar archivos APK sin necesidad de instalarlos. Esta plataforma crea un entorno de ejecución virtual dentro del contexto de las aplicaciones en las que está integrada. Los archivos APK ejecutados a través de ella pueden funcionar como si formaran parte de dichas aplicaciones y obtener automáticamente los mismos permisos.
Tool.Packer.1.origin: Utilidad especializada de compresión para proteger aplicaciones Android contra modificaciones e ingeniería inversa. No es maliciosa en sí misma, pero puede utilizarse tanto para proteger aplicaciones legales como programas troyanos.

Adware.ModAd.1: Detección de algunas versiones modificadas (mods) del messenger WhatsApp, en cuyas funciones se ha implementado un código para cargar enlaces específicos a través de una visualización web durante el uso de la aplicación. Desde estas direcciones de Internet se realiza la redirección a sitios promocionados, tales como casinos en línea, casas de apuestas o páginas para adultos.
Adware.AdPush.3.origin: Módulos de publicidad que pueden integrarse en aplicaciones Android. Muestran notificaciones publicitarias que inducen a error a los usuarios; por ejemplo, pueden parecer mensajes del sistema operativo. Además, estos módulos recopilan varios datos confidenciales y pueden descargar otras aplicaciones e iniciar su instalación.
Adware.Basement.1: Aplicaciones que visualizan publicidad no deseada, la cual a menudo lleva a sitios maliciosos y fraudulentos. Comparten una base de código común con programas no deseados Program.FakeMoney.11.
Adware.Fictus.1.origin: Módulo publicitario que los ciberdelincuentes integran en versiones clonadas de juegos y aplicaciones populares para Android. La integración se realiza mediante una herramienta de compresión especializada llamada net2share. Las copias de estas aplicaciones se distribuyen a través de varios catálogos y, una vez instaladas, muestran publicidad no deseada.
Adware.Jiubang.1: Adware no deseado para dispositivos Android que, al instalar aplicaciones, muestra un banner con programas recomendados para su instalación.

Amenazas en Google Play

Durante el segundo trimestre de 2025, los analistas de virus de Doctor Web detectaron en el catálogo de Google Play varias decenas de amenazas, entre ellas diversas aplicaciones falsas clasificadas como Android.FakeApp. Estos troyanos volvieron a propagarse activamente haciéndose pasar por aplicaciones de temática financiera y, en vez de ofrecer la funcionalidad prometida, podían cargar sitios web fraudulentos.

Android.FakeApp.1863 y Android.FakeApp.1859 — son unos ejemplos de troyanos detectados: el primero se ocultaba en la aplicación TPAO y estaba dirigido a usuarios turcos, a quienes se les ofrecía «gestionar fácilmente sus depósitos e ingresos». El segundo, presentado por los ciberdelincuentes como un «asistente financiero» llamado Quantum MindPro, estaba orientado al público francófono.

Otro de los disfraces más comunes para este tipo de aplicaciones falsas sigue siendo los juegos. Bajo ciertas condiciones, en vez de ofrecer funciones de juego, cargan sitios de casinos en línea y casas de apuestas.

Android.FakeApp.1840 (Pino Bounce) — una de los juegos falsos que pudo cargar un sitio web del casino en línea

Al mismo tiempo, nuestros expertos detectaron un nuevo software publicitario no deseado: Adware.Adpush.21912. Se ocultaba en una aplicación con contenido informativo sobre criptomonedas llamada Coin News Promax. Adware.Adpush.21912 muestra notificaciones que, al ser pulsadas, cargan en WebView un enlace establecido por el servidor de control.

Para proteger los dispositivos en Android contra malware y software no deseado, recomendamos a los usuarios instalar los productos antivirus Dr.Web para Android.

Indicadores de compromiso

Doctor Web: informe de la actividad de virus para dispositivos móviles en I trimestre de 2025

Thu, 27 Mar 2025 00:00:00 GMT

27 de marzo de 2025

Según los datos estadísticos de detecciones Dr.Web Security Space para dispositivos móviles, en el I trimestre del año 2025 los troyanos adware Android.HiddenAds siguieron siendo malware más popular para el SO Android. Así mismo, comparado con el IV trimestre del año pasado, los mismos se detectaban en los dispositivos protegidos más del doble de veces. El segundo lugar otra vez lo ocupó el malware Android.FakeApp que los malintencionados usan en varios esquemas de estafa; su actividad creció casi un 8%. Los terceros fueron los troyanos adware de la familia Android.MobiDash — su número de detecciones creció casi 5 veces.

Se observó una dinámica parecida entre muchos troyanos bancarios. Así, por ejemplo, fue registrado un crecimiento del número de ataques de representantes de las familias Android.BankBot y Android.Banker — un 20,68% y un 151,71% respectivamente. Al mismo tiempo, los troyanos Android.SpyMax cuya actividad creció casi durante todo el año 2024, se detectaron un 41,94% menos que en el trimestre anterior.

Durante los últimos 3 meses los expertos de Doctor Web detectaron decenas de nuevas amenazas en el catálogo Google Play. Además del múltiples troyanos Android.FakeApp, ya habituales, nuestro laboratorio de virus registró en el mismo malware para robar criptomoneda, así como otros troyanos que visualizan publicidad importuna.

TENDENCIAS CLAVE DEL I TRIMESTRE

Crecimiento de la actividad de troyanos bancarios
Crecimiento del número de ataques de bankers Android.BankBot y Android.Banker
Reducción de la actividad de troyanos espía Android.SpyMax
En Google Play aparecieron múltiples nuevos tipos de malware

Según los datos de Dr.Web Security Space para dispositivos móviles

Android.HiddenAds.657.origin
Android.HiddenAds.655.origin
Android.HiddenAds.4214: Programas troyanos para visualizar publicidad importuna. Los representantes de la familia Android.HiddenAds frecuentemente se propagan camuflados de aplicaciones legales y en algunos casos se instalan en el catálogo del sistema por otro malware. Al penetrar en dispositivos en Android, estos troyanos adware suelen ocultar al usuario su propia presencia en el sistema, por ejemplo, “ocultan” el icono de la aplicación del menú de la pantalla principal.
Android.FakeApp.1600: Un programa troyano que abre un sitio web indicado en su configuración. Las modificaciones conocidas de este malware abren el sitio web del casino online.
Android.MobiDash.7859: Un programa troyano que visualiza publicidad importuna. Es un módulo de software que los desarrolladores integran en las aplicaciones.

Program.FakeMoney.11
Program.FakeMoney.14: Detección de aplicaciones que supuestamente permiten ganar dinero al realizar determinadas acciones o tareas. Estos programas simulan la acumulación de recompensas, pero para retirar el dinero «ganado» es necesario alcanzar una cantidad mínima. Suelen incluir una lista de sistemas de pago y bancos populares a través de los cuales, en teoría, se podrían transferir las recompensas. Sin embargo, incluso cuando los usuarios logran acumular la cantidad requerida, los pagos prometidos nunca se realizan. Esta misma detección también se aplica a otro software no deseado basado en el código de estos programas.
Program.FakeAntiVirus.1: Detección de adware que imita el funcionamiento de un software antivirus. Estas aplicaciones pueden alertar sobre amenazas inexistentes y engañar a los usuarios para que paguen por la versión completa.
Program.CloudInject.1: Detección de aplicaciones para Android modificadas mediante el servicio en la nube CloudInject y la herramienta de Android del mismo nombre (añadida a la base de virus de Dr.Web como Tool.CloudInject). Estos programas se alteran en un servidor remoto, y el usuario interesado en su modificación (modder) no tiene control sobre qué elementos se integran en ellos. Además, las aplicaciones obtienen un conjunto de permisos peligrosos. Tras la modificación, el modder puede administrarlas de forma remota, bloqueándolas, mostrando diálogos personalizados, rastreando la instalación y eliminación de otros programas, entre otras acciones.
Program.TrackView.1.origin: Detección de una aplicación que permite espiar a los usuarios a través de dispositivos Android. Con esta herramienta, los atacantes pueden rastrear la ubicación de los dispositivos objetivo, utilizar la cámara para grabar vídeos y tomar fotos, activar el micro para escuchar conversaciones, grabar audio, entre otras funciones maliciosas.

Tool.NPMod.1: Detección de aplicaciones para Android modificadas con la utilidad NP Manager. Estos programas incluyen un módulo especial que permite eludir la verificación de la firma digital tras su modificación.
Tool.Androlua.1.origin: Detección de varias versiones potencialmente peligrosas de un framework especializado para el desarrollo de aplicaciones Android en el lenguaje de programación script Lua. La lógica principal de las aplicaciones Lua está en scripts específicos, que están cifrados y se descifran con un interpretador antes de su ejecución. Con frecuencia, este framework solicita por defecto acceso a numerosos permisos del sistema para su funcionamiento. Como resultado, los scripts Lua ejecutados a través de él pueden realizar varias acciones maliciosas según los permisos concedidos.
Tool.SilentInstaller.14.origin: Plataforma de software potencialmente peligrosa que permite a las aplicaciones ejecutar archivos APK sin necesidad de instalarlos. Esta plataforma crea un entorno de ejecución virtual dentro del contexto de las aplicaciones en las que está integrada. Los archivos APK ejecutados a través de ella pueden funcionar como si fueran parte de dichas aplicaciones y obtener los mismos permisos de forma automática.
Tool.LuckyPatcher.1.origin: Una utilidad que permite modificar aplicaciones Android instaladas (crear parches para ellas) con el objetivo de cambiar la lógica de su funcionamiento o esquivar ciertas restricciones. Por ejemplo, con ella los usuarios pueden intentar desactivar la comprobación de acceso root en aplicaciones bancarias o conseguir recursos ilimitados en juegos. Para crear parches, la utilidad descarga desde Internet scripts especialmente preparados, que pueden ser creados y añadidos a la base común por cualquier persona. La funcionalidad de estos scripts puede ser, entre otras cosas, maliciosa, por lo que los parches creados pueden representar un peligro potencial.
Tool.Packer.1.origin: Una utilidad especial comprimidora para proteger las aplicaciones Android contra modificaciones e ingeniería inversa. No es maliciosa, pero puede ser utilizada para proteger tanto programas inofensivos como programas troyanos.

Adware.ModAd.1: Detección de algunas versiones modificadas (mods) del messenger WhatsApp, en las que se ha insertado código para cargar enlaces específicos a través de una visualización web mientras se utiliza el messenger. Desde estas direcciones de Internet se realiza una redirección a sitios promocionados, como casinos en línea, casas de apuestas y sitios para adultos.
Adware.Basement.1: Aplicaciones que visualizan publicidad no deseada, que a menudo redirige a sitios maliciosos y fraudulentos. Comparten una base de código común con programas no deseados Program.FakeMoney.11.
Adware.AdPush.3.origin
Adware.Adpush.21846: Módulos de publicidad que pueden ser integrados en aplicaciones Android. Visualizan notificaciones publicitarias que engañan a los usuarios. Por ejemplo, estas notificaciones pueden parecer mensajes del sistema operativo. Además, estos módulos recopilan una serie de datos confidenciales, y también pueden descargar otras aplicaciones e iniciar su instalación.
Adware.Fictus.1.origin: Un módulo publicitario que los ciberdelincuentes integran en versiones clonadas de juegos y aplicaciones populares para Android. Su integración en las aplicaciones se realiza mediante un comprimidor especializado net2share. Las copias de software creadas de esta manera se propagan a través de varios catálogos de aplicaciones y, una vez instaladas, visualizan publicidad no deseada.

Amenazas en Google Play

En el primer trimestre de 2025, el laboratorio de virus de la empresa Doctor Web detectó en Google Play varias decenas de aplicaciones maliciosas. Entre ellas, varias modificaciones de los troyanos Android.HiddenAds.4213 y Android.HiddenAds.4215 que ocultan su presencia en los dispositivos infectados y comienzan a mostrar publicidad encima de otras aplicaciones e interfaces del sistema operativo. Se ocultaban en aplicaciones de grabación de fotos y vídeos con varios efectos, editores de fotos, recopilaciones de imágenes y un diario de salud femenina.

Troyanos adware Android.HiddenAds que se ocultan en los programas Time Shift Cam y Fusion Collage Editor

Así mismo, nuestros expertos detectaron malware Android.CoinSteal.202, Android.CoinSteal.203 y Android.CoinSteal.206, que sirven para robar criptomoneda y se propagaron camuflados de software oficial de las plataformas blockchain Raydium y Aerodrome Finance, así como de la criptobolsa Dydx.

Programas Raydium y Dydx Exchange — troyanos para robar criptomoneda

Al ejecutarse, el malware solicita a las posibles víctimas que ingresen una frase mnemotécnica (frase seed) supuestamente para conectar un criptomonedero, pero en realidad, los datos introducidos se envían a los ciberdelincuentes. Para engañar aún más a los usuarios, los formularios para introducir las frases mnemotécnicas pueden ser camuflados de solicitudes de otras plataformas criptográficas. Como se muestra en el siguiente ejemplo, Android.CoinSteal.206 mostró un formulario de phishing supuestamente en nombre de la criptobolsa PancakeSwap.

Al mismo tiempo, en Google Play se volvieron a propagar programas falsificados Android.FakeApp. Muchos de ellos eran presentados por los ciberdelincuentes como aplicaciones de temática financiera, incluyendo tutoriales, herramientas para acceder a servicios de inversión y programas para gestionar finanzas personales. Estos programas cargaban diversos sitios de phishing, incluidos aquellos utilizados por los atacantes para recopilar datos personales.

Unos ejemplos de malware Android.FakeApp propagado como software financiero: «Dinero inteligente» — Android.FakeApp.1803, Economic Union — Android.FakeApp.1777

Otros troyanos Android.FakeApp, bajo ciertas condiciones, cargaban sitios de casas de apuestas y casinos en línea. Estas versiones de software malicioso se distribuían camufladas de varios juegos y otras aplicaciones, como, por ejemplo, un simulador de escritura rápida y un tutorial de dibujo. Entre ellas se detectaron también nuevas modificaciones del troyano Android.FakeApp.1669.

Unos ejemplos de malware falsificado que, en vez de la funcionalidad prometida, pudo cargar sitios de casinos en línea y casas de apuestas

Para proteger los dispositivos en Android contra malware y programas no deseados recomendamos a los usuarios instalar los productos antivirus Dr.Web para Android.

Indicadores de compromiso

Doctor Web: informe de la actividad de virus para dispositivos móviles en el año 2024

Thu, 30 Jan 2025 00:00:00 GMT

30 de enero de 2025

Los troyanos adware vuelven a ser la amenaza más común para Android en 2024. Al mismo tiempo, el software fraudulento, el ransomware, los clickers y los troyanos bancarios aumentaron su actividad en comparación con el año anterior. Entre estos últimos, los troyanos bancarios más sencillos, que solo roban las credenciales de acceso a la banca online y los códigos de confirmación por SMS, fueron más frecuentes que en 2023.

Entre los programas no deseados, los más activos fueron las aplicaciones que ofrecen a los usuarios realizar diversas tareas a cambio de recompensas virtuales, que luego supuestamente pueden convertirse en dinero real. Los programas potencialmente peligrosos más detectados fueron utilidades que permiten ejecutar aplicaciones de Android sin instalarlas. Los adware más activos eran versiones especialmente modificadas del messenger WhatsApp, cuyas funciones incluyen código para descargar enlaces publicitarios.

A lo largo del año, los analistas de virus de Doctor Web detectaron cientos de nuevas amenazas en el catálogo de Google Play, que se descargaron en total más de 26.700.000 veces. Entre ellas había malware, incluido un troyano espía, así como aplicaciones no deseadas y adware.

Nuestros expertos también identificaron un nuevo ataque a consolas TV basadas en Android: alrededor de 1.300.000 dispositivos se vieron afectados por un backdoor que infectaba el área del sistema y podía descargar e instalar software de terceros por comando de los atacantes.

Además, los analistas de virus de Doctor Web observaron la creciente popularidad de una serie de técnicas destinadas a dificultar el análisis de malware para Android y esquivar su detección por los antivirus. Entre ellas hubo diversas manipulaciones con el formato de los archivos ZIP (el formato ZIP es la base de los archivos APK de las aplicaciones Android), manipulaciones con el archivo de configuración del programa AndroidManifest.xml, y otras. Estas técnicas se detectaban con mayor frecuencia en troyanos bancarios.

TENDENCIAS DEL AÑO PASADO

El malware publicitario sigue siendo la amenaza más común
Aumentan los troyanos bancarios
Los ciberdelincuentes han aumentado el uso de troyanos bancarios Android.Banker sencillos, que solo roban datos de acceso a cuentas bancarias en línea y códigos de verificación por SMS
Los atacantes han aumentado el uso de la manipulación del formato de las aplicaciones APK y sus componentes estructurales para esquivar la detección y dificultar el análisis del malware
Aumento de la detección de troyanos ransomware Android.Locker y de los troyanos Android.Click trojan clickers
Aparecen muchas amenazas nuevas en el catálogo de Google Play

Los eventos más interesantes del año 2024

En mayo del año pasado, los expertos de Doctor informaron sobre el troyano clicker Android.Click.414.origin detectado en una aplicación para controlar juguetes sexuales y en un software de seguimiento de la actividad física. Ambos programas se propagaban a través del catálogo de Google Play y se instalaron más de 1.500.000 veces. Android.Click.414.origin tenía una arquitectura modular y utilizaba sus componentes para realizar tareas específicas. Por ejemplo, el troyano abría sitios web publicitarios de forma no autorizada y realizaba varias acciones en ellos. Por ejemplo, podía desplazarse por el contenido de las páginas, introducir texto en formularios, silenciar páginas web y crear capturas de pantalla de las mismas para analizar el contenido y luego realizar clics en las zonas deseadas. Además, Android.Click.414.origin transmitía información detallada sobre el dispositivo infectado al servidor de control. Al mismo tiempo, el clicker no atacaba específicamente a determinados usuarios: no se ejecutaba en dispositivos con el idioma chino de la interfaz.

Algunas versiones de programas Love Spouse y QRunning ocultaban el troyano Android.Click.414.origin

En septiembre, nuestros expertos revelaron los detalles de un análisis de consolas TV Android infectadas con el backdoor Android.Vo1d. Este malware modular se infiltró en casi 1.300.000 dispositivos de usuarios de 197 países. Colocaba sus componentes en el área del sistema y podía descargar e instalar software de terceros de forma no autorizada por comando de los atacantes.

Países con el mayor número de consolas TV detectadas infectadas por el backdoor Android.Vo1d

Ya en noviembre, nuestros analistas de virus utilizaron el troyano Android.FakeApp.1669 como ejemplo para explicar cómo los atacantes utilizan el protocolo DNS para conectar secretamente malware a servidores de control. Android.FakeApp.1669 es un troyano bastante primitivo cuyo trabajo consiste en cargar sitios web especificados. Se diferencia de la mayoría de amenazas similares en que obtiene la dirección de los sitios objetivo a partir del registro TXT de un servidor DNS malicioso utilizando código modificado de la biblioteca dnsjava de código abierto. Así mismo Android.FakeApp.1669 sólo se manifiesta al conectarse a Internet a través de determinados ISP; por lo demás, funciona como un software inofensivo.

Un ejemplo de una entrada TXT del dominio objetivo que el servidor DNS entregó para la solicitud a través de la utilidad Linux dig al analizar una de las modificaciones de Android.FakeApp.1669

Estadísticas

Según las estadísticas de detección de Dr.Web Security Space para dispositivos móviles, el malware es la amenaza más común en 2024, al mismo se refirió un 74,67% de todas las detecciones. Le sigue el adware con una cuota del 10,96%. Los programas potencialmente peligrosos ocuparon el tercer lugar con un 10,55% de detecciones. Los cuartos más comunes fueron los programas no deseados: los usuarios afrontaron los mismos en el 3,82% de los casos.

Malware

Los troyanos publicitarios Android.HiddenAds han vuelto a convertirse en el malware más popular para Android. Durante el año pasado, su cuota en el volumen total de aplicaciones maliciosas detectadas por Dr.Web aumentó en 0,34 p. p. y alcanzó el 31,95% de las detecciones.

Entre los representantes de esta familia el más activo fue Android.HiddenAds.3956 (15,10% detecciones de la familia y 4,84% del número total de detecciones de malware). Es una de las múltiples variantes de malware Android.HiddenAds.1994 que los usuarios afrontan ya durante varios años. La versión Android.HiddenAds.3956 junto con otras modificaciones apareció en el año 2023 y según nuestros pronósticos pudo ser líder en la familia, lo cual finalmente sucedió. En el año 2024 también se propagaron sus nuevas variantes Android.HiddenAds.3980, Android.HiddenAds.3989, Android.HiddenAds.3994, Android.HiddenAds.655.origin, Android.HiddenAds.657.origin y algunas otras.

Así mismo, también destacó la subfamilia de los troyanos Android.HiddenAds.Aegis. A diferencia de la mayoría de otro malware Android.HiddenAds, los representantes de este grupo tienen capacidades de autoinicio y algunas otras peculiaridades. Con mayor frecuencia en los dispositivos protegidos por el antivirus Dr.Web se detectaban las modificaciones Android.HiddenAds.Aegis.1, Android.HiddenAds.Aegis.4.origin, Android.HiddenAds.Aegis.7.origin y Android.HiddenAds.Aegis.1.origin.

El segundo malware más popular fueron los troyanos de la familia Android.FakeApp aplicados por los malintencionados para realizar varios esquemas de estafa. El año pasado a los mismos se refirió un 18,28% de todas las detecciones de malware, lo cual supera en 16,45 p.p. los valores del año anterior. Con mayor frecuencia, estos troyanos cargan los sitios web no deseados destinados para ataques phishing y estafas online.

En el tercer lugar, con la parte de 11,52% (reducción de 16,7 p.p. comparado con el año 2023) están los troyanos Android.Spy que tienen funcionalidad espía. Igual que el año antes, el representante de la familia más popular fue Android.Spy.5106 — al mismo se refiere un 5,95% de detecciones de malware.

En 2024, se produjo una tendencia divergente en la propagación del malware, diseñado para descargar e instalar otro software y capaz de ejecutar código arbitrario. Así por ejemplo, comparado con el año anterior la parte de descargadores de Android.DownLoader bajó un 0,49 p. p. hasta 1,69%, la parte de troyanos Android.Mobifun bajó un 0,15 p. p. hasta 0,10%, y de troyanos Android.Xiny — un 0,14 p. p. hasta 0,13%. Así mismo, con mayor frecuencia se detectaban los troyanos Android.Triada (2,74% de los casos, crecimiento de 0,6 p. p.) y Android.RemoteCode (3,78% de los casos, crecimiento de 0,95 p. p.).

La parte de malware protegido por comprimidores de malware Android.Packed bajó de 7,98% a 5,49%, y casi volvió a los indicadores del año 2022. Así mismo, de 10,06% a 5,38% bajó el número de ataques con participación de troyanos adware Android.MobiDash. Al mismo tiempo, subió ligeramente el número de detecciones de troyanos ransomware Android.Locker (de 1,15% a 1,60%) y troyanos Android.Proxy (de 0,57% a 0,81%). Los últimos permiten usar los dispositivos en Android infectados para redirigir el tráfico de red de los malintencionados a través de los mismos. Además, subió bastante la actividad de malware Android.Click, capaces de abrir los sitios web de publicidad y hacer clics en las páginas web (crecimiento de 0,82% a 3,56%).

Diez malware más detectados en el año 2024:

Android.FakeApp.1600: Un programa troyano que carga el sitio web especificado en su configuración. Las modificaciones conocidas de esta aplicación maliciosa cargan un sitio web de casino online.
Android.Spy.5106: Detección de una de las variantes de troyanos, que consiste en versiones modificadas de modificaciones no oficiales de WhatsApp. Puede robar contenido de notificaciones, ofrecer la instalación de programas de fuentes desconocidas y mostrar cuadros de diálogo con contenido configurable de forma remota mientras se utiliza el Messenger.
Android.HiddenAds.3956
Android.HiddenAds.3851
Android.HiddenAds.655.origin
Android.HiddenAds.3994
Android.HiddenAds.657.origin: Troyanos que visualizan publicidad importuna. Los representantes de esta familia se propagan a menudo camuflados de aplicaciones inofensivas y, en algunos casos, instalados en el directorio del sistema por otro malware . Una vez en los dispositivos Android, estos troyanos adware suelen ocultar su presencia en el sistema al usuario, por ejemplo, «al ocultar» el icono de la aplicación del menú de la pantalla de inicio.
Android.Click.1751: Un troyano incrustado en las modificaciones de WhatsApp messenger y que se hace pasar por clases de la biblioteca de Google. Durante el uso de la aplicación host, Android.Click.1751 realiza solicitudes a uno de los servidores de control. En respuesta, el troyano recibe dos enlaces, uno para los usuarios de habla rusa y otro para el resto. A continuación, visualiza un cuadro de diálogo con el contenido recibido del servidor y, en cuanto el usuario haga clic en el botón de confirmación, carga el enlace correspondiente en el navegador.
Android.HiddenAds.Aegis.1: Un programa troyano que oculta su presencia en dispositivos Android y visualiza publicidad importuna. Pertenece a una subfamilia que se diferencia de otros representantes de la familia Android.HiddenAds en varios aspectos. Por ejemplo, estos troyanos son capaces de lanzarse por sí mismos tras su instalación. Además, disponen de un mecanismo que permite que sus servicios permanezcan en ejecución de forma continua. En algunos casos, también pueden implicar funciones ocultas del sistema operativo Android.
Android.MobiDash.7815: Un programa troyano que visualiza publicidad importuna. Es un complemento que los desarrolladores de software incrustan en las aplicaciones.

Software no deseado

El software no deseado detectado con mayor frecuencia en el año 2024 fue Program.FakeMoney.11. Al mismo se refiere más de la mitad — 52,10% — del número total de malware detectado en dispositivos protegidos. Pertenece a la clase de aplicaciones que ofrecen a los usuarios ganar dinero al realizar varias tareas, pero al final no pagan ninguna recompensa real.

El software detectado por el antivirus Dr.Web como Program.CloudInject.1, están en el segundo lugar con la parte de 19,21% (crecimiento de 9,75 p. p. comparado con el año anterior). Estas aplicaciones se modifican a través del servicio en la nube CloudInject — a las mismas se añaden los permisos peligrosos y el código ofuscado, cuyo objetivo no puede ser controlado.

Las aplicaciones Program.FakeAntiVirus.1 llevan reduciendo su actividad ya durante dos años consecutivos — son los terceros en cuanto a la popularidad, con un indicador de 10,07%, lo cual es 9,35 p. p. inferior que en el año 2023. Estos programas imitan el funcionamiento de los antivirus, detectan las amenazas no existentes y proponen a los titulares de dispositivos en Android adquirir la versión completa para «corregir» los problemas supuestamente detectados.

Durante el año pasado los usuarios afrontaron varios tipos de software para observar y controlar la actividad. Este software puede ser usado para recopilar los datos tanto con autorización de titulares de dispositivos, como sin la misma — en el segundo caso en realidad se convierten en herramientas espía. Con mayor frecuencia en dispositivos protegidos por Dr.Web se detectaba software para supervisar Program.TrackView.1.origin (2,40% de los casos), Program.SecretVideoRecorder.1.origin (2,03% de los casos), Program.wSpy.3.origin (0,98% de los casos), Program.SecretVideoRecorder.2.origin (0,90% de los casos), Program.Reptilicus.8.origin (0,64% de los casos), Program.wSpy.1.origin (0,39% de los casos) y Program.MonitorMinor.11 (0,38% de los casos).

Además, fueron difundidos los programas en Android Program.Opensite.2.origin, cuyo objetivo es cargar los sitios web especificados y visualizar publicidad. A los mismos se refiere un 0,60% de detecciones de software no deseado.

Diez aplicaciones no deseadas detectadas con mayor frecuencia en el año 2024:

Program.FakeMoney.11
Program.FakeMoney.7: Detecta las aplicaciones que supuestamente permiten ganar dinero al realizar determinadas acciones o tareas. Estas aplicaciones simulan la acumulación de recompensas, y hay que acumular una cierta cantidad de dinero para retirar el dinero «ganado». Suelen contener una lista de sistemas de pago y bancos populares, a través de los cuales supuestamente es posible transferir las recompensas. Pero incluso cuando los usuarios consiguen acumular suficiente dinero para retirarlo, no reciben los pagos prometidos. Esta entrada también detecta otro software no deseado basado en el código de dichos programas.
Program.CloudInject.1: Detección de aplicaciones Android modificadas con el servicio en la nube CloudInject y la utilidad Android del mismo nombre (añadida a la base de datos de virus Dr.Web como Tool.CloudInject). Dichas aplicaciones se modifican en un servidor remoto, y el usuario (modder) interesado en modificarlas no tiene control sobre lo que se incrusta en ellas. Además, las aplicaciones reciben un conjunto de permisos peligrosos. Tras modificar los programas, el modder puede controlarlos a distancia: bloquearlos, mostrar diálogos personalizados, rastrear la instalación y eliminación de otro software, etc.
Program.FakeAntiVirus.1: Detecta adware que imita el funcionamiento de software antivirus. Estos programas pueden informar de amenazas inexistentes y engañar a los usuarios para que paguen por una versión completa del software.
Program.TrackView.1.origin: Detección de una aplicación que permite vigilar a los usuarios a través de dispositivos Android. Con esta aplicación, los atacantes pueden localizar los dispositivos objetivo, utilizar la cámara para grabar vídeos y hacer fotos, escuchar a través del micrófono, crear grabaciones de audio, etc.
Program.SecretVideoRecorder.1.origin
Program.SecretVideoRecorder.2.origin: Detecta varias versiones de la aplicación de grabación de fotos y vídeos en segundo plano a través de las cámaras integradas de los dispositivos Android. Esta aplicación puede funcionar de forma no autorizada, que permite desactivar las notificaciones de grabación, así como cambiar el icono y la descripción de la aplicación por otros falsos. Esta funcionalidad la hace potencialmente peligrosa.
Program.wSpy.3.origin: Programa espía comercial para la supervisión no autorizada de los propietarios de dispositivos Android. Permite a los atacantes leer la correspondencia (mensajes en mensajeros populares y SMS), escuchar el entorno, rastrear la ubicación del dispositivo, controlar el historial del navegador web, acceder a la agenda y los contactos, fotos y vídeos, hacer capturas de pantalla y fotos a través de la cámara del dispositivo, y funciona de keylogger.
Program.Reptilicus.8.origin: Una aplicación que permite espiar a los titulares de dispositivos Android. Puede supervisar la ubicación del dispositivo, recopilar datos sobre la correspondencia SMS y las conversaciones en redes sociales, escuchar las llamadas telefónicas y el entorno, crear capturas de pantalla, rastrear las entradas del teclado, copiar archivos del dispositivo y realizar otras acciones.
Program.Opensite.2.origin: Detección de aplicaciones Android similares cuya tarea es descargar sitios especificados y mostrar anuncios. Estas aplicaciones suelen hacerse pasar por otro software. Por ejemplo, hay modificaciones que se propagan camuflados por el reproductor de vídeo de YouTube. Cargan el sitio real del servicio y muestran banners publicitarios con la ayuda de SDK de publicidad conectados.

Software potencialmente peligroso

Las utilidades Tool.SilentInstaller que permiten iniciar las aplicaciones en Android sin instalar las mismas, el año pasado siguieron siendo líderes en cuanto al número de detecciones de software potencialmente peligroso. En total, a las mismas se refiere más del tercio de toro el software de este tipo detectado. Con mayor frecuencia, en los dispositivos se detectaban las modificaciones de Tool.SilentInstaller.17.origin (16,17%), Tool.SilentInstaller.14.origin (9,80%), Tool.SilentInstaller.7.origin (3,25%) y Tool.SilentInstaller.6.origin (2,99%).

Otro software potencialmente peligroso popular se refiere a las aplicaciones modificadas con la utilidad NP Manager. Esta utilidad incrusta en el software objetivo un módulo especial que permite esquivar la comprobación de la firma digital una vez realizada la modificación. El Antivirus Dr.Web detecta estos programas como varios variantes de la familia Tool.NPMod. Entre las mismas, con mayor frecuencia se detectaban las variaciones de Tool.NPMod.1. Durante el año, la popularidad de las mismas aumentó bastante: a las mismas se refiere un 16,49% de detecciones de aplicaciones potencialmente peligrosas, lo cual es 11,68 p. p. mayor que en el año 2023. Así mismo, la parte de software modificado con la utilidad NP Manager detectado por otra entrada de — Tool.NPMod.2, — fue de un 7,92%. Como resultado, en total los representantes de esta familia se encargaron casi de un cuarto de todas las detecciones de software potencialmente peligroso.

Entre los líderes también se observan las aplicaciones protegidas por el comprimidor Tool.Packer.1.origin — se detectaron en un 13,17% de los casos, lo cual supera en 12,38 p. p. los valores del año anterior. Además, de с 3,10% a 3,93% subió el número de detecciones de Tool.Androlua.1.origin. Es un framework que permite modificar los programas en Android instalados y ejecutar los scripts Lua que pueden ser potencialmente peligrosos.

Así mismo, la actividad de uno de los líderes del año 2023, la familia de utilidad, Tool.LuckyPatcher, al contrario, bajó un poco — de 14,02% a 8,16%. Estas utilidades permiten modificar los programas en Android al añadir a los mismos los scripts cargados de Internet. Con menor frecuencia se detectan programas protegidos por la utilidad ofuscadora Tool.Obfuscapk (reducción de 3,22% a 1,05%), así como por el comprimidor Tool.ApkProtector (reducción de 10,14% a 3,39%).

Diez aplicaciones potencialmente peligrosas más frecuentes detectadas en dispositivos en Android en el año 2024:

Tool.NPMod.1
Tool.NPMod.2: Detección de aplicaciones Android modificadas con la utilidad NP Manager. En estas aplicaciones se implementa un módulo especial que permite esquivar la verificación de la firma digital tras su modificación.
Tool.SilentInstaller.17.origin
Tool.SilentInstaller.14.origin
Tool.SilentInstaller.7.origin
Tool.SilentInstaller.6.origin: Plataformas potencialmente peligrosas que permiten a las aplicaciones ejecutar archivos APK sin instalarlos. Crean un entorno de ejecución virtual que no afecta al sistema operativo subyacente.
Tool.Packer.1.origin: Una utilidad comprimidora especializada para proteger las aplicaciones Android de modificaciones e ingeniería inversa. No es maliciosa, pero puede utilizarse para proteger tanto apps inofensivas como troyanas.
Tool.LuckyPatcher.1.origin: Utilidad que permite modificar las aplicaciones Android instaladas (crear parches para ellas) con el fin de cambiar la lógica de su funcionamiento o saltarse ciertas restricciones. Por ejemplo, con su ayuda los usuarios pueden intentar desactivar la verificación de acceso root en aplicaciones bancarias u obtener recursos ilimitados en juegos. Para crear parches, la utilidad descarga de Internet los scripts especialmente preparados, que cualquiera puede crear y añadir a una base de datos común. La funcionalidad de dichos scripts puede resultar maliciosa, por lo cual los parches creados pueden ser potencialmente peligrosos.
Tool.Androlua.1.origin: Detección de una serie de versiones potencialmente peligrosas de un framework especializado para el desarrollo de programas para Android en lenguaje de programación de scripts Lua. La lógica principal de las aplicaciones Lua está en los scripts correspondientes, que son cifrados y descifrados por el interpretador antes de su ejecución. A menudo, este framework por defecto solicita acceso a muchos permisos del sistema para su funcionamiento. Como resultado, los scripts Lua ejecutados a través de él pueden realizar varias acciones maliciosas en función de los permisos que se les hayan concedido.
Tool.Packer.3.origin: Detección de programas en Android cuyo código está cifrado y ofuscado por la utilidad NP Manager.

Adware

El adware más popular en el año 2024 fue la nueva familia de programas Adware.ModAd — al mismo se refiere un 47,45% de detecciones. Los líderes del año anterior, los representantes de la familia Adware.Adpush, se vieron en el segundo lugar con la parte de 14,76% (reducción del número de detecciones de 21,06 p. p.). En el tercer lugar con indicador de 8,68% observamos otra nueva familia de adware Adware.Basement.

Así mismo, fueron populares también las familias de Adware.Airpush (su parte bajó de 8,59% a 4,35%), Adware.Fictus (reducción de 4,41% a 3,29%), Adware.Leadbolt (reducción de 4,37% a 2,26%), Adware.ShareInstall (reducción de 5,04% a 1,71%). Los adware que en el año 2023 estaban en el segundo lugar, Adware.MagicPush, bajaron bastante su actividad y no entran en la primera decena, al cambiar enseguida a la posición once con indicador de 1,19% (reducción de 8,39 p. p.).

Diez adware más populares detectados en dispositivos en Android en el año 2024:

Adware.ModAd.1: Detección de algunas versiones modificadas del messenger WhatsApp, en cuyas funciones está implementado un código para cargar los enlaces especificados a través de la pantalla web mientras se utiliza el messenger. Estas direcciones web redirigen a sitios publicitados, como casinos y casas de apuestas en línea, sitios para adultos, etc.
Adware.Basement.1: Aplicaciones que visualizan publicidad importuna que a menudo lleva a sitios web maliciosos y fraudulentos. Comparten una base de códigos común con programas no deseados Program.FakeMoney.11.
Adware.Fictus.1
Adware.Fictus.1.origin: Un módulo publicitario que los atacantes incrustan en versiones clones de juegos y programas populares de Android. Se integra en los programas con un comprimidor especializado net2share. Las copias de software creadas de este modo se distribuyen a través de varios directorios de aplicaciones y muestran anuncios no deseados tras su instalación.
Adware.Adpush.21846
Adware.AdPush.39.origin: Módulos publicitarios que pueden integrarse en programas Android. Visualizan notificaciones publicitarias que engañan a los usuarios. Por ejemplo, dichas notificaciones pueden parecerse a mensajes del sistema operativo. Además, estos módulos recopilan una serie de datos sensibles y también pueden descargar otras aplicaciones e iniciar su instalación.
Adware.Airpush.7.origin: Complementos incrustados en aplicaciones Android que visualizan varios anuncios. En función de la versión y la modificación, puede tratarse de notificaciones publicitarias, ventanas emergentes o banners. Los atacantes suelen utilizar estos módulos para propagar malware al proponer la instalación de un software específico. Además, estos módulos transmiten información confidencial de varios tipos a un servidor remoto.
Adware.ShareInstall.1.origin: Un módulo de publicidad que puede ser integrado en programas en Android. Visualiza notificaciones de publicidad en la pantalla de bloqueo del SO Android.
Adware.Youmi.4: Detección de un módulo de publicidad no deseado que ubica los accesos directos publicitarios en la pantalla de inicio de dispositivos en Android.
Adware.Inmobi.1: Detección de algunas versiones del SDK del adware Inmobi que pueden realizar llamadas telefónicas y añadir eventos al calendario de los dispositivos en Android.

Amenazas en Google Play

En 2024, los analistas de virus de Doctor Web identificaron más de 200 amenazas en el catálogo de Google Play con más de 26.700.000 descargas totales. Además del troyano Android.Click.414.origin, hubo muchos otros, como el troyano Android.HiddenAds. Se propagaban camuflados por una gran variedad de software: editores de fotos, escáneres de códigos de barras, colecciones de imágenes e incluso un sistema de alarma «antirrobo» para proteger tu smartphone de extraños. Estos troyanos ocultan sus iconos tras la instalación y empiezan a mostrar anuncios agresivos que bloquean la interfaz del sistema y otros programas e impiden el uso normal del dispositivo.

Unos ejemplos de troyanos adware detectados en Google Play en el año 2024. Android.HiddenAds.4013 se ocultaba en un editor de fotos Cool Fix Photo Enhancer, Android.HiddenAds.4034 — en una recopilación de imágenes Cool Darkness Wallpaper, Android.HiddenAds.4025 — en un programa para reconocer los códigos de barras QR Code Assistant, y Android.HiddenAds.656.origin — en un software de alarma Warning Sound GBD

Nuestros expertos también detectaron varios programas troyanos protegidos por los malintencionados con un comprimidor sofisticado.

En la aplicación Lie Detector Fun Prank se ocultaba un troyano Android.Packed.57156, y en el programa Speaker Dust and Water Cleaner — un troyano Android.Packed.57159, protegidos por un comprimidor

Otro malware detectado eran representantes de la familia Android.FakeApp, que se utilizan en diversas tramas fraudulentas. La principal tarea de la mayoría de estos troyanos es abrir un enlace determinado, pero en determinadas condiciones también pueden funcionar como software declarado. Muchos de ellos se propagan camuflados por varios programas financieros (por ejemplo, guías y tutoriales, calculadoras de rentabilidad, aplicaciones de compraventa de acciones, herramientas de contabilidad doméstica), cuadernos, agendas, programas de concursos y encuestas, y otros. Cargaban sitios web fraudulentos dedicados a inversiones.

Unos ejemplos de troyanos Android.FakeApp que cargaban los enlaces a las web fraudulentas: Android.FakeApp.1681 (SenseStrategy), Android.FakeApp.1708 (QuntFinanzas)

Una parte de software falso Android.FakeApp se propagaba camuflada por varios juegos. Muchos de ellos también podían proporcionar la funcionalidad declarada, pero su tarea principal era cargar los sitios web de casinos en línea y casаs de apuestas.

Unos ejemplos de troyanos camuflados por juegos Android.FakeApp que cargaban los enlaces a los sitios web de enlaces de casas de apuestas y casinos en línea: Android.FakeApp.1622 (3D Card Merge Game), Android.FakeApp.1630 (Crazy Lucky Candy)

Algunos troyanos de esta familia han vuelto a camuflarse por aplicaciones de búsqueda de empleo. Estos falsos programas descargan falsas ofertas de empleo y piden a los usuarios que creen un «currículum» proporcionando información personal. En otros casos, los troyanos pueden sugerir a las víctimas potenciales que se pongan en contacto con el «empleador» a través de messenger. En realidad, las víctimas potenciales escribirán a delincuentes que intentarán atraerlas hacia una u otra estratagema fraudulenta.

Unos ejemplos de troyanos Android.FakeApp que los estafadores presentaban como software para buscar empleo: Android.FakeApp.1627 (Aimer), Android.FakeApp.1703 (FreeEarn)

Además, se detectaron en Google Play otras aplicaciones troyanas que suscribían a los usuarios a servicios de pago. Uno de ellos era Android.Subscription.22, que se propagaba camuflada por InstaPhoto Editor.

Un troyano Android.Subscription.22, destinado para suscribir a los usuarios a servicios de pago

Otros troyanos de este tipo fueron los representantes de familias similares Android.Joker y Android.Harly, que tienen arquitectura modular. Los primeros pueden descargar los componentes auxiliares de Internet, y los segundos destacan por almacenar habitualmente los módulos requeridos cifrados entre sus recursos.

Unos ejemplos de programas que suscribían a sus víctimas a servicios de pago. Android.Joker.2280 se ocultaba en una aplicación con horoscopos My Horoscope, y Android.Harly.87 — en el juego BlockBuster

Además de malware, los expertos de Doctor Web detectaron nuevo software no deseado en Google Play, incluidas varias modificaciones de Program.FakeMoney.11 y Program.FakeMoney.14. Estos programas pertenecen a una familia de aplicaciones que ofrecen a los usuarios realizar diversas tareas (a menudo para ver anuncios) a cambio de recompensas virtuales. Supuestamente, las recompensas pueden convertirse posteriormente en dinero real o premios, pero el usuario debe acumular una cierta cantidad de dinero para poder retirar las «ganancias». Sin embargo, incluso en caso de éxito, el usuario no recibe pagos reales al final.

Un variante de Program.FakeMoney.11 se difundía como juego Copper Boom, y Program.FakeMoney.14 estaba camuflado por un juego Merge Party

Además, nuestros analistas de virus identificaron nuevo adware en Google Play durante el año. Entre ellos había aplicaciones y juegos con un módulo de publicidad Adware.StrawAd incrustado que pudo mostrar anuncios de varios proveedores de servicios.

Unos ejemplos de juegos con un módulo de publicidad Adware.StrawAd: Crazy Sandwich Runner (Adware.StrawAd.1), Poppy Punch Playtime (Adware.StrawAd.3), Finger Heart Matching (Adware.StrawAd.6), Toimon Battle Playground (Adware.StrawAd.9)

Las aplicaciones de adware Adware.Basement también se propagaron en Google Play, y sus anuncios a menudo llevan a sitios maliciosos y fraudulentos. Cabe destacar que esta familia comparte una base común de códigos con los programas no deseados Program.FakeMoney.11.

Unos ejemplos de adware no deseado Adware.Basement Lie Detector: Lie Prank Test, TapAlarm:Don't touch my phone y Magic Voice Changer — Adware.Basement.1, Auto Clicker:Tap Auto — Adware.Basement.2

Troyanos bancarios

Según las estadísticas de detección de Dr.Web Security Space para dispositivos móviles, en 2024 la proporción de troyanos bancarios en el número total de programas maliciosos detectados fue del 6,29%, lo que supone 2,71 p. p. más que el año anterior. Su actividad no ha dejado de disminuir desde enero, pero el número de ataques empezó a aumentar de nuevo a mediados de primavera. Durante el tercer trimestre, su actividad se mantuvo casi sin cambios, tras lo cual siguió aumentando, alcanzando un máximo anual en noviembre.

En 2024 otra vez se difundieron ampliamente las familias populares de troyanos bancarios. Entre las mismas, malware Coper, Hydra (Android.BankBot.1048.origin, Android.BankBot.563.origin), Ermac (Android.BankBot.1015.origin, Android.BankBot.15017), Alien (Android.BankBot.745.origin, Android.BankBot.1078.origin), Anubis (Android.BankBot.670.origin). Además, se observaron ataques con uso de familias Cerberus (Android.BankBot.11404), GodFather (Android.BankBot.GodFather.3, Android.BankBot.GodFather.14.origin) y Zanubis (Android.BankBot.Zanubis.7.origin).

Durante el año, los atacantes distribuyeron activamente troyanos espía Android.SpyMax, que tienen una amplia gama de características maliciosas, incluida la capacidad de controlar los dispositivos infectados de forma remota. También se utilizan ampliamente como troyanos bancarios. Esta familia al principio incluía el troyano RAT multifuncional SpyNote (RAT - Remote Administration Trojan). Sin embargo, después de que se filtrara su código fuente, empezaron a aparecer todo tipo de modificaciones basadas en él, como CraxsRAT y G700 RAT. Las estadísticas de detección de Dr.Web Security Space para dispositivos móviles confirman que los representantes de esta familia comenzaron a estar activos en la segunda mitad de 2023, y desde entonces el número de detecciones ha seguido creciendo casi cada mes. Esta tendencia aún continúa.

Los troyanos Android.SpyMax se dirigen a usuarios de todo el mundo. El año pasado se observaron numerosos ataques a usuarios rusos, el 46,23% de las detecciones de la familia estaban dirigidas a este público. El malware también se propagó de forma más activa entre titulares de dispositivos Android brasileños (35,46% de las detecciones) y turcos (5,80% de las detecciones).

Cabe destacar que la propagación de este malware en Rusia no se produce principalmente a través de spam o variantes clásicas de phishing, sino más bien a través de una de las etapas del fraude telefónico. Al principio, los atacantes que llaman a una víctima potencial intentan convencerla de que son funcionarios de un banco o de las fuerzas del orden. Informan sobre un supuesto problema — un intento de robo de dinero de una cuenta bancaria o una solicitud de préstamo no planificada — o, por el contrario, dan «buenas noticias» sobre supuestos pagos públicos pendientes. Cuando los estafadores se dan cuenta de que el usuario les cree, le animan a instalar una «actualización antivirus», una «aplicación bancaria» u otro software, por ejemplo, para «garantizar una transacción segura». En realidad, dicho programa oculta el troyano Android.SpyMax.

Los usuarios de Rusia en el año 2024 también afrontaron las familias de bankers Falcon (Android.BankBot.988.origin, Android.Banker.5703) y Mamont (Android.Banker.637.origin, Android.Banker.712.origin). Además, se observaron los ataques de troyanos bancarios Android.Banker.791.origin y Android.Banker.829.origin a titulares de dispositivos en Android de Rusia y Uzbekistán, así como del banker Android.Banker.802.origin a usuarios de Rusia, Azerbaiyán y Uzbekistán. El objetivo del troyano Android.Banker.757.origin eran usuarios de Rusia, Uzbekistán, Tayikistán y Kazakstán.

Nuestros expertos otra vez detectaron ataques de troyanos MoqHao (Android.Banker.367.origin, Android.Banker.430.origin, Android.Banker.470.origin, Android.Banker.593.origin), cuyo objetivo eran usuarios de varios países, incluidos el Sudeste Asiático y Asia-Pacífico. El objetivo de otros troyanos también era el mismo público. Por ejemplo, los propietarios surcoreanos de dispositivos Android afrontaron las familias Fakecalls (Android.BankBot.919.origin, Android.BankBot.14423, Android.Banker.5297), IOBot (Android.BankBot.IOBot.1.origin) y Wroba (Android.Banker.360.origin). Otras modificaciones de Wroba (Android.BankBot.907.origin, Android.BankBot.1128.origin) atacaron a usuarios de Japón.

A los residentes de China, entre otros, les amenazaba el troyano Android.Banker.480.origin, a los usuarios de Vietnam — Android.BankBot.1111.origin. Al mismo tiempo, los malintencionados solían aplicar troyanos TgToxic (Android.BankBot.TgToxic.1) para atacar a clientes de entidades de crédito de Indonesia, Tailandia y Taiwán y el troyano GoldDigger (Android.BankBot.GoldDigger.3) — para atacar a usuarios de Tailandia y Vietnam.

Otra vez fueron detectados los ataques a usuarios iraníes — los mismos afrontaron los bankers como Android.Banker.709.origin, Android.Banker.5292, Android.Banker.777.origin, Android.BankBot.1106.origin y algunos otros. Y en ataques a clientes turcos de bancos, además de otros troyanos, también se observaron los representantes de la familia Tambir (Android.BankBot.1104.origin, Android.BankBot.1099.origin, Android.BankBot.1117.origin).

Entre los titulares hindúes de dispositivos en Android se difundieron los bankers Android.Banker.797.origin, Android.Banker.817.origin y Android.Banker.5435 — se camuflaban por software que supuestamente tenía que ver con entidades de crédito Airtel Payments Bank, PM KISAN e IndusInd Bank. Además, se mantuvo la actividad de los troyanos bancarios Rewardsteal (Android.Banker.719.origin, Android.Banker.5147, Android.Banker.5443) cuyo objetivo básico son los clientes hindúes de los bancos Axis bank, HDFC Bank, SBI, ICICI Bank, RBL bank y Citi bank.

En los países de Latinoamérica otra vez se detectó la actividad de los troyanos PixPirate (Android.BankBot.1026.origin) que atacan a clientes de bancos brasileños.

A los usuarios europeos, en particular, estaban destinados los troyanos Anatsa (Android.BankBot.Anatsa.1.origin) y Copybara (Android.BankBot.15140, Android.BankBot.1100.origin). Estos últimos atacan sobre todo a residentes de Italia, Reino Unido y España.

Durante 2024, los analistas de virus de Doctor Web registraron un aumento de popularidad de algunos métodos de protección de malware en Android — principalmente troyanos bancarios —contra el análisis y la detección. En particular, los atacantes realizaron varias manipulaciones con el formato ZIP — la base de los archivos APK. Como resultado, muchas herramientas de análisis estático que utilizan algoritmos estándar para trabajar con archivos ZIP son incapaces de procesar correctamente estos archivos «dañados». Al mismo tiempo, los troyanos son percibidos por el sistema operativo Android como programas normales y se instalan y funcionan correctamente.

Una de las técnicas populares fue la manipulación con campos compression method y compressed size en la estructura del encabezado del archivo local en APK. Los malintencionados indican deliberadamente los valores incorrectos en los campos compressed size y uncompressed size (tamaño comprimido o tamaño sin compresión), o escriben un método de compresión incorrecto o inexistente en el campo compression method. En otra realización, se puede especificar un método sin comprimir para el archivo, así mismo, los campos de encabezado compressed size y uncompressed size no coincidirán, aunque deben coincidir.

Otro método popular - el uso de datos de disco incorrectos en el ECDR (End of Central Directory Record, fin de la entrada del catálogo central) y CD (Central Directory, el encabezado del archivo de directorio central - aquí están los datos del archivo y los parámetros de archivo). Ambos parámetros deberían ser los mismos para un archivo completo, pero los ciberdelincuentes pueden especificar valores diferentes para ellos, como si se tratara de un multi-archivo en vez de un archivo completo.

También fue popular la técnica de especificar un indicador en los encabezados de algunos archivos locales de un archivo archivado para indicar que los archivos están cifrados. En realidad, no están cifrados, pero esto hace que el archivo archivado se lea incorrectamente cuando se analiza.

Junto con la manipulación de la estructura de los archivos APK los creadores también usaron toros modos, por ejemplo, la modificación del archivo de configuración de aplicaciones en AndroidManifest.xml. En particular, añadían bytes basura b'\x00' a la estructura de los atributos del archivo, por lo cual el mismo no se leía correctamente.

Perspectivas y tendencias

El año pasado demostró que los ciberdelincuentes siguen enriqueciéndose activamente a costa de los titulares de dispositivos Android. Sus principales herramientas siguen siendo adware y los troyanos bancarios, las aplicaciones maliciosas con funciones de spyware y software fraudulento. En este sentido, cabe esperar que en 2025 surjan nuevas amenazas de este tipo.

A pesar de las medidas adoptadas para mejorar la seguridad de Google Play, este catálogo sigue siendo una de las fuentes de amenazas para Android. Por lo tanto, no se puede descartar la aparición de nuevas aplicaciones maliciosas y no deseadas.

Otro caso de consolas TV en Android infectadas el año pasado demuestra que los creadores de virus utilizan varios vectores de ataque. Es muy posible que los atacantes no sólo vuelvan a fijarse en estos dispositivos, sino que sigan buscando otros objetivos potenciales entre la variedad de dispositivos Android.

Es posible que los creadores de virus sigan introduciendo activamente nuevas formas de esquivar el análisis y la detección de programas maliciosos.

Los expertos de Doctor Web siguen supervisando el desarrollo de las ciberamenazas móviles y garantizan la protección de nuestros usuarios. Para mejorar su seguridad, instale el antivirus Dr.Web para dispositivos móviles, que le ayudará a afrontar los programas maliciosos, no deseados y otros programas peligrosos, estafadores y otras amenazas.

Indicadores de compromiso

Doctor Web: informe de la actividad de virus para dispositivos móviles en IV trimestre de 2024

Thu, 26 Dec 2024 07:00:00 GMT

26 de diciembre de 2024

Según los datos estadísticos de detecciones de Dr.Web Security Space para dispositivos móviles, en el IV trimestre del año 2024 el malware más destacado se refiere a los troyanos de publicidad Android.HiddenAds. Los siguieron las aplicaciones malware Android.FakeApp usadas para estafas. Los últimos de los tres líderes fueron los troyanos Android.Siggen con funcionalidad maliciosa de varios tipos.

Durante el trimestre, los analistas de virus de la empresa Doctor Web detectaron múltiples amenazas en el catálogo Google Play. Entre las mismas hubo múltiples troyanos Android.FakeApp, así como malware de familias Android.Subscription y Android.Joker que suscribían a los usuarios a servicios de pago. También fueron detectados más troyanos de publicidad Android.HiddenAds. Además, los malintencionados difundieron malware protegido por un comprimidor sofisticado.

TENDENCIAS CLAVE DEL IV TRIMESTRE

Alta actividad de troyanos de publicidad Android.HiddenAds y programas de estafa Android.FakeApp
 Difusión de múltiple malware a través del catálogo Google Play

Según los datos de Dr.Web Security Space para dispositivos móviles

Android.FakeApp.1600: Un programa troyano que abre el sitio web indicado en su configuración. Las modificaciones conocidas de esta aplicación malware abren el sitio web del casino online.
Android.HiddenAds.655.origin
Android.HiddenAds.657.origin: Programas troyanos para visualizar publicidad importuna. Los representantes de la familia Android.HiddenAds se difunden con frecuencia camuflados por aplicaciones legales y en algunos casos se instalan en el catálogo de sistema por otro malware. Al penetrar en dispositivos en Android, estos troyanos bancarios normalmente ocultan al usuario su presencia en el sistema — por ejemplo, «ocultan» el icono de la aplicación del menú de la ventana principal.
Android.Packed.57083: Detección de malware protegido por el comprimidor ApkProtector. Entre los mismos, hay troyanos bancarios, software espía y otro malware.
Android.Click.1751: Un troyano que se incrusta en modificaciones del Messenger WhatsApp y se camufla por clases de bibliotecas de Google. Durante el uso de la aplicación portadora, Android.Click.1751 hace solicitudes a uno de los servidores de control. En respuesta, el troyano recibe dos enlaces, uno de los cuales sirve para usuarios de habla rusa y otro para todos los demás. Luego visualiza una ventana de diálogo con el contenido recibido del servidor y al pulsar el usuario el botón de confirmación visualiza el enlace correspondiente en el navegador.

Program.FakeMoney.11: Detección de aplicaciones que supuestamente permiten ganar dinero al realizar alguna acción o tarea. Estos programas imitan el abono de premios, así mismo, para poder usar el dinero “ganado” hay que acumular un importe determinado. Suelen tener una lista de sistemas de pago populares y bancos a través de los cuales supuestamente se puede transferir los premios. Pero hasta cuando los usuarios consiguen acumular un importe necesario para poder usar el dinero, no reciben los pagos prometidos. Esta entrada también se usa para detectar otro malware basado en el código de estos programas.
Program.FakeAntiVirus.1: Detección de adware que imita el funcionamiento de software antivirus. Estos programas pueden informar sobre las amenazas no existentes y engañar a usuarios al demandar el pago de la versión completa.
Program.CloudInject.1: Detección de aplicaciones en Android modificadas con el servicio en la nube CloudInject y la utilidad en Android del mismo nombre (añadida a la base de virus Dr.Web como Tool.CloudInject). Estos programas se modifican en el servidor remoto, así mismo, el usuario interesado en su modificación (modder) no controla qué exactamente se incrustará en los mismos. Además, las aplicaciones reciben un conjunto de permisos peligrosos. Una vez modificados los programas, el modder puede administrarlos de forma remota — bloquearlos, visualizar los diálogos personalizados, supervisar el hecho de instalación y eliminación de otro software etc.
Program.TrackView.1.origin: Detección de la aplicación que permite supervisar a usuarios a través de dispositivos en Android. Con este programa, los malintencionados pueden detectar la ubicación de los dispositivos objetivo, usar la cámara para grabar vídeos y crear fotos, hacer la escucha con el micro, crear grabaciones de audio etc.
Program.SecretVideoRecorder.1.origin: Detección de varias versiones de la aplicación para la grabación de fotos y vídeos en segundo plano a través de las cámaras incrustadas de dispositivos en Android. Este programa puede funcionar sin autorización al permitir desactivar las notificaciones de grabación, así como sustituir el icono y la descripción de la aplicación por los falsos. Esta funcionalidad lo convierte en potencialmente peligroso.

Tool.NPMod.1: Detección de aplicaciones en Android modificadas con la utilidad NP Manager. Estos programas tienen incrustado un módulo especial que permite esquivar la comprobación de la firma digital después de su modificación.
Tool.SilentInstaller.14.origin: Plataforma potencialmente peligrosa que permite a las aplicaciones iniciar los archivos APK sin instalar los mismos. Esta plataforma crea un entorno virtual de ejecución en el contexto de aplicaciones donde los mismos están incrustados. Los archivos APK iniciados con los mismos pueden funcionar como si formaran parte de estos programas, y recibir los mismos permisos de forma automática.
Tool.LuckyPatcher.1.origin: Una utilidad que permite modificar las aplicaciones en Android instaladas (crear parches para las mismas) para modificar su lógica de funcionamiento o esquivar alguna restricción, por ejemplo, con la misma los usuarios pueden intentar desactivar la comprobación de acceso root en programas bancarios o recibir los recursos ilimitados en los juegos. Para crear los parches, la utilidad descarga de Internet los scripts preparados a propósito que pueden ser creados y añadidos a la base común por cualquier interesado. La funcionalidad de estos cripts puede ser así mismo maliciosa, por lo tanto, los parches creados pueden ser de peligro potencial.
Tool.Packer.1.origin: Utilidad comprimidora especializada para proteger las aplicaciones en Android contra la modificación y la ingeniería inversa. No es maliciosa, pero puede ser usada para proteger tanto los programas legales como troyanos.
Tool.Androlua.1.origin: Detección de algunas versiones potencialmente peligrosas del framework especializado para desarrollar los programas en Android en lenguaje de programación script Lua. La lógica básica de aplicaciones Lua está en los scripts correspondientes que están cifrados y se descifran por el interpretador antes de ser ejecutados. Frecuentemente este framework de forma predeterminada solicita acceso a múltiples permisos de sistema para funcionar. Como resultado, los scripts Lua ejecutados a través del mismo pueden realizar varias acciones maliciosas según los permisos recibidos.

Adware.ModAd.1: Detección de algunas versiones modificadas del Messenger WhatsApp en cuyas funciones están implementado un código para cargar los enlaces establecidos a través de la pantalla web durante el trabajo con el Messenger. Desde estas direcciones de Internet se realiza la redirección a los sitios web publicitados — por ejemplo, los casinos en línea y bookmakers, sitios web para adultos.
Adware.Basement.1: Aplicaciones que visualizan publicidad no deseada que frecuentemente lleva a los sitios web maliciosos y de estafa. Tienen una base de códigos común no programas no deseados Program.FakeMoney.11.
Adware.Fictus.1.origin: Un módulo de publicidad que los malintencionados incrustan en versiones clones de juegos en Android y programas populares. Su integración en programas se realiza con un comprimidor especializado net2share. Las copias de software creadas de esta forma se difunden a través de varios catálogos de aplicaciones y una vez instaladas visualizan publicidad no deseada.
Adware.AdPush.3.origin
Adware.Adpush.21846: Los módulos de publicidad que pueden ser integrados en programas en Android. Visualizan las notificaciones de publicidad que engañan a los usuarios. Por ejemplo, estas notificaciones pueden parecer mensajes del sistema operativo. Además, estos módulos recaban algunos datos privados, y también pueden abrir otras aplicaciones e iniciar su instalación.

Amenazas en Google Play

En el IV trimestre del año 2024 los analistas de virus de la empresa Doctor Web detectaron en el catálogo Google Play más de 60 varias aplicaciones malware, la mayor parte de las cuales son los troyanos de la familia Android.FakeApp. Algunos de ellos se difundieron camuflados por programas de temas financieros, manuales y materiales de formación, así como otro software— diarios, libretas etc. Su tarea principal era cargar los sitios web de estafa.

Programas QuntFinanzas y Trading News, que entre otros múltiples troyanos Android.FakeApp cargaban los sitios web de estafa

Otros troyanos Android.FakeApp fueron presentados por los malintencionados camuflados por juegos. Podían cargar los sitios web de casinos en línea y bookmakers.

Bowl Water y Playful Petal Pursuit — ejemplos de juegos con funcionalidad troyana

Así mismo nuestros expertos detectaron nuevas variantes del troyano Android.FakeApp.1669 que se camuflaba por varias aplicaciones maliciosas y también pudo cargar los sitios web de casinos online. Android.FakeApp.1669 es interesante porque recibe la dirección del sitio web objetivo del archivo

TXT del servidor DNS malicioso. Así mismo, su actividad se nota solo al conectarse a Internet a través de los proveedores determinados.

Ejemplos de nuevas modificaciones del troyano Android.FakeApp.1669. El programa WordCount fue presentado por los malintencionados como utilidad de texto, y el programa Split it: Checks and Tips tenía que ayudar a los visitantes de cafeterías y restaurantes a pagar las cuentas y calcular la propina.

Entre las amenazas encontradas en Google Play hubo algunos nuevos presentantes de la familia de troyanos de publicidad Android.HiddenAds que ocultan su presencia en los dispositivos infectados.

Un editor de fotos Cool Fix Photo Enhancer ocultaba el troyano de publicidad Android.HiddenAds.4013

Además, fueron registrados los troyanos protegidos por un comprimidor sofisticado —por ejemplo, Android.Packed.57156, Android.Packed.57157 y Android.Packed.57159.

Las aplicaciones Lie Detector Fun Prank y Speaker Dust and Water Cleaner — son los troyanos protegidos por el comprimidor

Así mismo, nuestros expertos detectaron un malware Android.Subscription.22, destinado para suscribir a usuarios a servicios de pago.

En vez de editar las fotos la aplicación InstaPhoto Editor suscribía a usuarios al servicio de pago

Así mismo, los malintencionados otra vez difundieron los troyanos de la familia Android.Joker que también suscribían a las víctimas a servicios de pago.

Un Messenger SMS Smart Messages y el teclado de terceros Cool Keyboard intentaron suscribir a las víctimas de forma no autorizada al servicio de pago

Para proteger los dispositivos en Android contra malware y software no deseado recomendamos a los usuarios instalar los productos antivirus Dr.Web para Android.

Indicadores de compromiso

Malware en Google Play: cómo los ciberdelincuentes utilizan el protocolo DNS para la comunicación encubierta de troyanos con servidores de control

Mon, 11 Nov 2024 03:00:00 GMT

11 de noviembre de 2024

La tarea de muchos troyanos, como Android.FakeApp, consiste en redirigir a enlaces de distintos sitios web, y desde un punto de vista técnico, estos programas maliciosos son bastante primitivos. Al activarse, reciben el comando para abrir una dirección web específica, de modo que los usuarios, vez de ver la aplicación o juego esperado, encuentran en la pantalla algún contenido de un sitio no deseado. No obstante, entre estas falsificaciones a veces podemos ver ejemplos destacados, como Android.FakeApp.1669. A diferencia de otras amenazas similares, este troyano usa una biblioteca modificada de dnsjava para recibir una configuración desde un servidor DNS malicioso que contiene un enlace de destino. Esta configuración solo le llega cuando el dispositivo está conectado a Internet a través de determinados proveedores, como los de internet móvil. En otros casos, el troyano permanece inactivo.

Android.FakeApp.1669 tiene múltiples versiones que se distribuyen como diferentes aplicaciones, incluidas algunas en el catálogo de Google Play. Hasta la fecha, las variantes conocidas del troyano han sido descargadas desde la tienda oficial de Android al menos 2.150.000 veces.

Ejemplos de aplicaciones donde se ocultó Android.FakeApp.1669

A continuación, se presentan algunas variantes de Android.FakeApp.1669 que los analistas de virus de “Doctor Web” detectaron en Google Play. Nuestros especialistas han identificado más aplicaciones troyanas, pero algunas ya no están disponibles en la tienda de aplicaciones.

Nombre de la aplicación	Número de descargas
Split it: Checks and Tips	1 000 000+
FlashPage parser	500 000+
BeYummy - your cookbook	100 000+
Memogen	100 000+
Display Moving Message	100 000+
WordCount	100 000+
Goal Achievement Planner	100 000+
DualText Compare	100 000+
Travel Memo	100 000+ (eliminada)
DessertDreams Recipes	50 000+
Score Time	10 000+

Al iniciarse Android.FakeApp.1669 realiza una solicitud DNS al servidor de control para recibir un registro TXT asociado al dominio objetivo. El servidor solo envía esta información cuando el dispositivo infectado está conectado a la red a través de ciertos proveedores, entre ellos, proveedores de internet móvil. Normalmente, estos registros TXT contienen información técnica sobre el dominio, pero en caso de Android.FakeApp.1669 incluyen una configuración codificada para el malware.

Para enviar las solicitudes DNS Android.FakeApp.1669 utiliza un código modificado de la biblioteca Open Source dnsjava.

Todas las versiones del troyano están vinculadas a nombres de dominios específicos, lo que permite al servidor DNS enviar a cada versión su propia configuración. Además, los nombres de los subdominios son únicos para cada dispositivo infectado. Tienen codificados los datos sobre el dispositivo, así mismo, los sensibles:

modelo y marca del dispositivo;
tamaño de pantalla;
Identificador (consiste en dos números: el primero es la fecha de instalación del troyano, el segundo es un número aleatorio);
estado de la batería y porcentaje de carga;
si están activadas las opciones de desarrollador.

Por ejemplo, la variante de Android.FakeApp.1669 que se oculta en la aplicación Goal Achievement Planner, solicitó al servidor un registro TXT para el dominio 3gEBkayjVYcMiztlrcJXHFSABDgJaFNNLVM3MjFCL0RTU2Ftc3VuZyAg[.]simpalm[.]com., variante del programa Split it: Checks and Tips — registro para el dominio 3gEBkayjVYcMiztlrcJXHFTABDgJaFNNLVM3MjFCL0RTU2Ftc3VuZyAg[.]revolt[.]digital., y la variante de DessertDreams Recipes — para el dominio 3gEBkayjVYcMiztlrcJXHFWABDgJaFNNLVM3MjFCL0RTU2Ftc3VuZyAg[.]outorigin[.]com..

Un ejemplo de registro TXT del dominio objetivo que el servidor DNS envió para una solicitud a través de la utilidad Linux al analizar una de las modificaciones de Android.FakeApp.1669

Para descifrar el contenido de estos registros TXT, hay que seguir los siguientes pasos:

invertir la cadena;
decodificar Base64;
descomprimir gzip;
dividir en líneas con el símbolo ÷.

Esto proporciona datos como los siguientes (el ejemplo corresponde la entrada TXT para la aplicación Goal Achievement Planner):

url
hxxps[:]//goalachievplan[.]pro
af_id
DF3DgrCPUNxkkx7eiStQ6E
os_id
f109ec36-c6a8-481c-a8ff-3ac6b6131954

Estos datos incluyen un enlace que el troyano carga en WebView, en su propia ventana sobre la interfaz principal. Este enlace lleva a una página que inicia una cadena de redirecciones, la cual finalmente llega a un sitio de casino en línea. Como resultado Android.FakeApp.1669 se convierte en la práctica en una aplicación web que muestra el contenido de un sitio web cargado, en vez de la funcionalidad anunciada en la página de la aplicación en Google Play.

Un malware en vez de la funcionalidad esperada visualizó el contenido del sitio web abierto del casino online

Cuando el troyano no tiene conexión a Internet a través de los proveedores objetivo (o está en modo sin conexión), funciona como la aplicación original, siempre que los creadores de la modificación hayan incluido alguna funcionalidad para este caso.

Un troyano no recibió la configuración del servidor de control y se inició como un programa ordinario

Dr.Web Security Space para dispositivos móviles detecta correctamente y elimina todas las modificaciones conocidas de Android.FakeApp.1669, por lo tanto, este troyano no es peligroso para nuestros usuarios.

Indicadores de compromiso

Más información sobre Android.FakeApp.1669

Doctor Web: informe de la actividad de virus para dispositivos móviles en el III trimestre de 2024

Tue, 01 Oct 2024 00:00:00 GMT

1 de octubre de 2024

Según los datos estadísticos de detecciones de Dr.Web Security Space para dispositivos móviles en el III trimestre del año 2024 en los dispositivos protegidos con mayor frecuencia se detectaba malware Android.FakeApp usado por los malintencionados en varios esquemas de estafa. En el segundo lugar observamos adware troyano Android.HiddenAds. Los terceros fueron los representantes de la familia Android.Siggen — son programas de funcionalidad nociva de varios tipos difíciles de ser clasificados para formar parte de alguna familia en concreto.

En agosto los expertos de Doctor Web detectaron un backdoor Android.Vo1d que infectó casi 1 300 000 consolas TV con SO Android de usuarios de 197 países. Este malware coloca sus componentes en el área de sistema del dispositivo y por comando de los malintencionados puede descargar e instalar varias aplicaciones de forma no autorizada.

Así mismo, nuestros analistas de virus otra vez detectaron amenazas en el catálogo Google Play. Entre las mismas hobo múltiples nuevos programas falsificados, y también varios tipos de adware troyano a la vez.

TENDENCIAS CLAVE DEL III TRIMESTRE

El backdoor Android.Vo1d infectó más de un millón de consolas TV
Alta actividad de malware Android.FakeApp aplicado para estafas
Alta actividad de adware troyano Android.HiddenAds
Aparición del nuevo malware en el catálogo Google Play

Según los datos de los productos antivirus Dr.Web para Android

Android.FakeApp.1600: Un programa troyano que abre el sitio web indicado en su configuración, Las modificaciones conocidas de este malware abren el sitio web del casino el línea.
Android.HiddenAds.3994: Un programa troyano para visualizar publicidad importuna. Los representantes de la familia Android.HiddenAds se difunden con frecuencia camuflados por aplicaciones legales y en algunos casos se instalan en el catálogo de sistema por otro malware. Al penetrar en los dispositivos en Android, estos troyanos adware suelen ocultar al usuario su propia presencia en el sistema — por ejemplo, «ocultan» el icono de la aplicación del menú de la ventana principal.
Android.MobiDash.7815
Android.MobiDash.7813: Los programas troyanos que visualizan publicidad importuna. Son módulos de software incrustados en las aplicaciones por los desarrolladores de software.
Android.Click.1751: Un troyano incrustado en las modificaciones del Messenger WhatsApp que se camufla por clases de bibliotecas de Google. Durante el uso de la aplicación portadora de Android.Click.1751 crea solicitudes al uno de los servidores de control. En respuesta, el troyano recibe dos enlaces, uno de los cuales sirve para los usuarios de habla rusa, y el otro para todos los demás. Luego visualiza una ventana de diálogo con el contenido recibido del servidor y una vez pulsado el botón de confirmación por el usuario abre el enlace correspondiente en el navegador.

Program.FakeMoney.11: Detección de aplicaciones que supuestamente permiten ganar dinero al realizar alguna acción o tarea. Estos programas, imitan el abono de premios, además, para poder usar el dinero “ganado” hay que acumular un importe determinado. Normalmente suelen tener una lista de sistemas de pago populares y bancos a través de los cuales supuestamente se puede transferir los premios. Pero hasta si los usuarios consiguen acumular el importe suficiente para poder usarlo, no reciben los pagos prometidos. Con esta entrada también se detecta otro software no deseado basado en el código de estos programas.
Program.CloudInject.1: Detección de aplicaciones en Android modificadas con el servicio en la nube CloudInject y la utilidad en Android del mismo nombre (añadido a la base de virus Dr.Web como Tool.CloudInject). Estos programas se modifican en un servidor remoto, así mismo, el usuario interesado en su modificación (modder) no controla qué exactamente será incrustado en los mismos. Además, las aplicaciones reciben un conjunto de permisos peligrosos. Una vez modificados los programas, el modder puede controlarlos a distancia — bloquearlos, visualizar los diálogos personalizados, supervisar el hecho de instalación y desinstalación de otro software etc.
Program.FakeAntiVirus.1: Detección de adware que imita el funcionamiento de software antivirus. Estos programas pueden informar sobre las amenazas no existentes y engañar a usuarios al requerir el pago de la versión completa.
Program.SecretVideoRecorder.1.origin: Detección de varias versiones de la aplicación para la grabación de fotos y vídeos en segundo plano a través de las cámaras incrustadas de dispositivos en Android. Este programa puede funcionar de forma no autorizada, al permitir desactivar las notificaciones sobre la grabación, y también modificar el ícono y la descripción de la aplicación por los falsos. Esta funcionalidad lo convierte en potencialmente peligroso.
Program.TrackView.1.origin: Detección de la aplicación que permite supervisar a usuarios a través de dispositivos en Android. Con este programa los malintencionados pueden detectar la ubicación de dispositivos objetivos, usar la cámara para grabar los vídeos y crear fotos, hacer la escucha a través del micro, crear grabaciones de audio etc.

Tool.Packer.1.origin: Una utilidad comprimidora especializada para proteger las aplicaciones en Android contra la modificación y la ingeniería inversa. No es maliciosa, pero puede ser usada para proteger tanto los programas legales como troyanos.
Tool.SilentInstaller.17.origin: Una plataforma potencialmente peligrosa que permite a las aplicaciones iniciar los archivos APK sin instalar los mismos. Esta plataforma crea un entorno de ejecución virtual en contexto de aplicaciones donde los mismos están incrustados. Los archivos APK iniciados con las mismas pueden funcionar como si formaran parte de estos programas y recibir los mismos permisos de forma automática
Tool.NPMod.1
Tool.NPMod.2: Detección de aplicaciones en Android modificadas con la utilidad NP Manager. Estos programas tienen incrustado un módulo especial que permite esquivar la comprobación de la firma digital una vez modificados.
Tool.LuckyPatcher.1.origin: Una utilidad que permite modificar las aplicaciones en Android instaladas (crear los parches para las mismas) para modificar su lógica de funcionamiento o esquivar alguna restricción. Por ejemplo, con la misma los usuarios pueden intentar desactivar la comprobación del acceso root en programas bancarios o recibir los recursos ilimitados en los juegos. Para crear los parches la utilidad descarga de Internet los scripts preparados a propósito que pueden ser creados y añadidos a la base común por cualquier interesado. La funcionalidad de estos scripts así mismo puede resultar maliciosa, por lo tanto, los parches creados pueden ser de peligro potencial.

Adware.ModAd.1: Detección de algunas versiones modificadas (mods) del messenger WhatsApp, cuyas funciones tienen incrustado un código para cargar los enlaces establecidos a través de la visualización web durante el trabajo con el messenger. Desde estas direcciones de Internet se redirige a los sitios web publicitados, por ejemplo, de casinos en línea y corredores de apuestas, sitios web para adultos.
Adware.Basement.1: Las aplicaciones que visualizan publicidad no deseada que frecuentemente lleva a los sitios web maliciosos y de estafa. Tiene una base de código común con programas no deseados Program.FakeMoney.11.
Adware.Fictus.1.origin: Un módulo de publicidad incrustado por los malintencionados en las versiones clones de juegos en Android populares y programas. Su integración en los programas se realiza con un comprimidor especial net2share. Las copias de software creadas de esta forma se difunden a través de varios catálogos de aplicaciones y visualizan varios tipos de publicidad una vez instaladas.
Adware.Adpush.21846
Adware.AdPush.39.origin: Los módulos de publicidad que pueden ser integrados en programas en Android. Visualizan las notificaciones de publicidad que engañan a usuarios. Por ejemplo, estas notificaciones pueden ser similares a mensajes del sistema operativo. Adema´s, estos módulos recopilan algunos datos privados y también pueden descargar otras aplicaciones e iniciar su instalación.

Amenazas en Google Play

En el III trimestre del año 2024 los analistas de virus de Doctor Web continuaron detectando amenazas en el catálogo Google Play. Entre las mismas, hubo múltiples nuevos programas falsificados Android.FakeApp difundidos camuflados por varios tipos de software. Una parte de las mismas fue presentada por los malintencionados como programas del sector financiero — las aplicaciones para inversiones, los manuales de finanzas, variaciones de contabilidad de hogar, etc. Algunas de ellas realmente disponían de funcionalidad declarada, pero su tarea básica era abrir los sitios web de estafa. En los mismos, a las víctimas potenciales se les promete ganar dinero rápido y fácilmente al invertir en participaciones, vender las materias primas, la criptomoneda etc. A los usuarios para acceder al “servicio” se les propone registrar la cuenta o formalizar una solicitud para participar, al indicar los datos personales.

Cabe destacar que un troyano Android.FakeApp fue presentado por los malintencionados como un programa para citas online y comunicación, pero el mismo también cargaba un sitio web de estafa con “inversiones”.

Otros troyanos Android.FakeApp otra vez se difundían camuflados por juegos. En determinadas condiciones abrían los sitios web de casinos en línea y de corredores de apuestas.

Entre los programas falsificados nuestros expertos detectaron también algunas nuevas variantes de troyanos que se camuflan por herramientas para buscar empleo. Este malware carga las listas de ofertas de trabajo falsificadas y proponen a las víctimas potenciales a ponerse en contacto con el empleador a través del messenger (en realidad no es ningún “empleador” sino un estafador) o crear un “currículum vitae” al indicar los datos personales.

Los analistas de virus de Doctor Web también detectaron en Google Play otros troyanos de la familia Android.HiddenAds que ocultan sus iconos en el menú de la pantalla principal y empiezan a visualizar publicidad importuna. Se camuflaban por aplicaciones de varios tipos — recopilaciones de imágenes, editores de fotos, escáneres de códigos de barra.

Para proteger los dispositivos en Android contra malware o software no deseado recomendamos a los usuarios instalar los productos antivirus Dr.Web para Android.

Indicadores de compromiso

Doctor Web: informe de la actividad de virus para dispositivos móviles en II trimestre de 2024

Mon, 01 Jul 2024 03:00:00 GMT

1 de julio de 2024

Según los datos de estadísticas de detecciones Dr.Web para dispositivos móviles Android, en II trimestre del año 2024 con mayor frecuencia se detectaba adware troyano Android.HiddenAds en los dispositivos protegidos. Los segundos en cuanto a la popularidad fueron las aplicaciones maliciosas Android.FakeApp, aplicadas por los malintencionados al realizar varios esquemas de estafa. La mayor parte de este crecimiento se refiere al troyano Android.FakeApp.1600 detectado por nuestros expertos a finales de mayo. Se difunde a través de los sitios web maliciosos de los cuales se descarga camuflado por una aplicación de juegos. Pero en realizada esta falsificación al ser iniciada abre un sitio web indicado en su configuración — en las modificaciones conocidas es un sitio web del casino en línea. A sus visitantes se les ofrece jugar a un juego de tipo “la rueda de la fortuna”, pero al intentar hacerlo los mismos se redirigen a la página con un formulario de registro. Los altos indicadores del número de detecciones de este malware se deben a lo siguiente: para promoverlo, los malintencionados usan así mismo la publicidad en otras aplicaciones. Al hacer clic sobre un anuncio de este tipo, los usuarios se ven en un sitio web malicioso correspondiente del que se descarga el troyano. En cuanto a la popularidad, los terceros fueron los troyanos Android.Spy que tienen funcionalidad espía.

Durante el II trimestre el laboratorio de virus de la empresa Doctor Web detectó más amenazas en el catálogo Google Play. Entre las mismas, varios tipos de malware falsificado Android.FakeApp, así como un software no deseado Program.FakeMoney.11 que supuestamente permite convertir los premios virtuales en dinero real para usarlo fuera de la aplicación. Además, los malintencionados otra vez difundieron un troyano a través de Google Play que suscribe a las víctimas a los servicios de pago.

TENDENCIAS CLAVE DEL II TRIMESTRE

Los troyanos adware Android.HiddenAds siguen siendo las amenazas en Android más activas
Aparición de más amenazas en el catálogo Google Play

Según los datos de los productos antivirus Dr.Web para Android

Android.FakeApp.1600: Un programa troyano que abre el sitio web indicado en su configuración. Las modificaciones conocidas de este malware abren un sitio web de un casino en línea.
Android.HiddenAds.3956
Android.HiddenAds.3980
Android.HiddenAds.3989: Los programas troyanos para visualizar publicidad importuna. Los representantes de esta familia se difunden frecuentemente camuflados por software legal y en algunos casos se instalan en el catálogo del sistema por otro malware. Al penetrar en dispositivos en Android, estos troyanos de publicidad suelen ocultar al usuario su presencia en el sistema — por ejemplo, «ocultan» el icono de la aplicación del menú de la pantalla principal.
Android.Spy.5106: Detección del programa troyano que consiste en versiones modificadas de modificaciones no oficiales de la aplicación WhatsApp. Puede robar el contenido de las notificaciones, proponer la instalación de software de orígenes desconocidos, y durante el uso del messenger — visualizar las ventanas de diálogo con contenido configurado a distancia.

Program.CloudInject.1: Detección de aplicaciones en Android modificadas con el servicio en la nube CloudInject y la utilidad en Android del mismo nombre (añadida a la base de virus Dr.Web como Tool.CloudInject). Estos programas se modifican en el servidor remoto, así mismo el usuario interesado en su modificación (modder) no controla qué exactamente será incrustado en los mismos. Además, las aplicaciones reciben un conjunto de permisos peligrosos. Una vez modificados los programas, el modder puede administrarlos a distancia — bloquearlos, visualizar los diálogos personalizados, supervisar el hecho de instalación y desinstalación de otro software etc.
Program.FakeMoney.11: Детектирование приложений, якобы позволяющих зарабатывать на выполнении тех или иных действий или заданий. Эти программы имитируют начисление вознаграждений, причем для вывода «заработанных» денег требуется накопить определенную сумму. Даже когда пользователям это удается, получить выплаты они не могут.
Program.FakeAntiVirus.1: Detección de adware que imita el funcionamiento del software antivirus. Estos programas pueden informar sobre las amenazas no existentes y engañar a usuarios al demandar la compra de la versión completa.
Program.TrackView.1.origin: Detección de la aplicación que permite observar a los usuarios a través de dispositivos en Android. Con este programa los malintencionados pueden detectar la ubicación de dispositivos objetivo, usar la cámara para grabar los vídeos y crear las fotos, hacer la escucha a través del micro, crear grabaciones de audio etc.
Program.SecretVideoRecorder.1.origin: Detección de varias versiones de la aplicación para la grabación de fotos y vídeos en segundo plano a través de las cámaras incrustadas de dispositivos en Android. Este programa puede funcionar de forma no autorizada al permitir desactivar las notificaciones sobre la grabación, así como sustituir el icono y la descripción de la aplicación por los falsos. Esta funcionalidad lo convierte en potencialmente peligroso.

Tool.SilentInstaller.17.origin
Tool.SilentInstaller.14.origin: Plataformas potencialmente peligrosas que permiten a las aplicaciones iniciar los archivos APK sin instalar los mismos. Estas plataformas crean un entorno virtual de ejecución en contexto de aplicaciones donde están incrustadas. Los archivos APK iniciados con las mismas pueden funcionar como si fueran parte de estos programas, y recibir los mismos permisos de forma automática.
Tool.Packer.1.origin: Una utilidad comprimidora especializada para proteger las aplicaciones en Android contra la modificación y la ingeniería inversa. No es maliciosa, pero puede ser usada para la protección tanto de software no malicioso, como troyano.
Tool.NPMod.1
Tool.NPMod.2: Detección de aplicaciones en Android modificadas con la utilidad NP Manager. Estos programas tienen implementado un módulo especial que permite esquivar la comprobación de la firma digital una vez modificados.

Adware.ModAd.1: Detección de algunas versiones modificadas del messenger WhatsApp en cuyas funciones está implementado el código para abrir los enlaces establecidos a través de la visualización web durante el trabajo con el messenger. Desde estas direcciones de Internet se redirige a los sitios web publicitados, por ejemplo, los casinos en línea y corredores de apuestas, sitios web para adultos.
Adware.AdPush.39.origin
Adware.Adpush.21846: Módulos de publicidad que pueden ser integrados en software en Android. Visualizan las notificaciones de publicidad que engañan a usuarios. Por ejemplo, estas notificaciones pueden recordar mensajes del sistema operativo. Además, estos módulos recaban algunos datos privados, y también pueden descargar otras aplicaciones e inicializar su instalación.
Adware.ShareInstall.1.origin: Un módulo de publicidad que puede ser integrado en programas en Android. Visualiza notificaciones de publicidad en la pantalla de bloqueo de SO.
Adware.Airpush.7.origin: Un representante de la familia de módulos de publicidad incrustados en aplicaciones en Android que visualizan publicidad de varios tipos. En función de la versión y modificación, pueden ser notificaciones de publicidad, ventanas emergentes o banners. Con estos módulos, los malintencionados difunden malware a menudo, al proponer la instalación de algún tipo de software. Además, estos módulos transfieren varios tipos de información privada al servidor remoto.

Amenazas en Google Play

En el segundo trimestre del año 2024 el laboratorio de virus de la empresa Doctor Web otra vez detectó en el catálogo Google Play las aplicaciones troyanas de la familia Android.FakeApp. Una parte de las mismas se difundía camuflada por programas financieros, así como aplicaciones para participar en encuestas y triviales:

Podían abrir los sitios web de estafa donde a las víctimas potenciales supuestamente en nombre de entidades de crédito conocidas y empresas de petróleo y gas se les ofrecía realizar formación financiera o ser inversores. Para acceder a alguno de estos “servicios” los usuarios tenían que contestar a varias preguntas y luego indicar sus datos personales.

Otros troyanos Android.FakeApp se ocultaban en varios juegos. En determinadas condiciones en vez de la funcionalidad declarada, los mismos abrían los sitios web de corredores de apuestas y casinos en línea.

Otro programa troyano de la familia Android.FakeApp — Android.FakeApp.1607 — se ocultaba en un programa recopilación de imágenes. Realmente proporcionaba la funcionalidad declarada, pero en vez de eso también pudo abrir los sitios web de casinos en línea.

Algunos representantes de la familia Android.FakeApp (Android.FakeApp.1605 y Android.FakeApp.1606) fueron presentados por los malintencionados por software para buscar trabajo. Estos troyanos abren las listas de ofertas de trabajo falsificadas donde se ofrece ponerse en contacto con el «empleador» a través de los messengers en línea (por ejemplo, Telegram), o enviar un «currículum», al proporcionar los datos personales, Una vez llamada la atención de las víctimas potenciales, los malintencionados, al intentar robar dinero, pueden acechar a los usuarios en varios esquemas dudosos de ganar dinero.

Nuestros expertos también detectaron en Google Play otro programa no deseado que pertenece a la familia Program.FakeMoney. Estas aplicaciones ofrecen a los usuarios realizar varias tareas y recibir los premios virtuales que posteriormente supuestamente pueden ser usados como dinero real. En realidad, engañan a los usuarios de dispositivos en Android, porque no se realiza ningún pago. El objetivo de estos programas es estimular a usuarios permanecer en los mismos el máximo tiempo posible y visualizarles la publicidad que trae beneficios a los desarrolladores.

El programa detectado (Program.FakeMoney.11) es una variante de “bandido manco” sin pérdida por jugar al cual y por ver publicidad en la aplicación a los usuarios se les abonan los premios virtuales. Al intentar usar el dinero “ganado”, el programa retrasa esta posibilidad lo máximo posible, al proponer siempre las nuevas condiciones. Si el usuario al final presenta una solicitud para usar el dinero “correctamente”, se verá en una cola de espera que consiste en varios miles de otros “aspirantes”.

Además, en el catálogo Google Play se difundía otro programa troyano de la familia Android.Harly — Android.Harly.82. El malware de esta familia suscribe a las víctimas a los servicios de pago.

Para proteger los dispositivos en Android contra malware y software no deseado recomendamos a los usuarios instalar los productos antivirus Dr.Web para Android.

Indicadores de compromiso

Doctor Web: informe de actividad de virus para dispositivos móviles en febrero de 2024

Mon, 01 Apr 2024 03:00:00 GMT

1 de abril de 2024

Según los datos de estadísticas de detecciones Dr.Web para dispositivos móviles Android, en febrero del año 2024 creció bastante la actividad de adware troyano de la familia Android.HiddenAds ― un 73,26% comparado con el mes de enero. Así mismo, los usuarios afrontaban otra familia de troyanos de publicidad, Android.MobiDash, un 58,85% menos.

La actividad de troyanos bancarios de varias familias bajó un 18,77%, y de aplicaciones troyanas espía Android.Spy ― un 27,33%. Así mismo, el número de detecciones de malware extorsionista Android.Locker subió un 29,85%.

TENDENCIAS CLAVE DEL MES DE FEBRERO

Crecimiento importante de actividad de adware troyano de la familia Android.HiddenAds
Reducción de ataques de troyanos bancarios y malware espía
Crecimiento del número de detecciones de malware extorsionista en dispositivos protegidos

Según los datos de productos antivirus Dr.Web para Android

Android.HiddenAds.3956
Android.HiddenAds.3851: Programas troyanos para visualizar publicidad importuna. Los representantes de esta familia frecuentemente se difunden camuflados por aplicaciones legales y en algunos casos se instalan en el catálogo de sistema por otro malware. Al penetrar en dispositivos en Android, estos troyanos de publicidad suelen ocultar al usuario su propia presencia en el sistema — por ejemplo, «ocultan» el icono de la aplicación del menú de la pantalla principal.
Android.Spy.5106: Detección de un programa troyano que consiste en versiones modificadas de modificaciones no oficiales de la aplicación WhatsApp. Puede robar en contenido de notificaciones, ofrecer la instalación de programas de orígenes desconocidos, y durante el uso del messenger — visualiza las ventanas de diálogo con el contenido configurado a distancia.
Android.HiddenAds.Aegis.1
Android.HiddenAds.Aegis.4.origin: Programas troyanos que ocultan su presencia en dispositivos en Android y visualizan publicidad importuna. Tienen algunas peculiaridades, a diferencia de otros representantes de la familia Android.HiddenAds. Por ejemplo, estos troyanos pueden ser iniciados de forma automática una vez instalados. Además, en los mismos fue realizado un mecanismo que permite a sus servicios permanecer iniciados de forma continua. En algunos casos, los mismos también pueden usar funcionalidad oculta del SO Android.

Program.CloudInject.1: Detección de aplicaciones en Android modificadas con el servicio en la nube CloudInject y la utilidad en Android del mismo nombre (añadida a la base de virus Dr.Web como Tool.CloudInject). Estos programas se modifican en el servidor remoto, así mismo, el usuario interesado en su modificación (modder) no controla qué exactamente se incrustará en los mismos. Así mismo, las aplicaciones reciben un conjunto de permisos peligrosos. Una vez modificados los programas, el modder puede administrar los mismos a distancia — bloquearlos, visualizar los diálogos personalizados, supervisar el hecho de instalación y eliminación de otro software etc.
Program.FakeAntiVirus.1: Detección de adware que imita el funcionamiento de software antivirus. Estos programas pueden informar sobre las amenazas no existentes y engañar a usuarios al requerir la compra de la versión completa.
Program.wSpy.3.origin: Un programa espía comercial para supervisar de forma oculta a los titulares de dispositivos en Android. Permite a los malintencionados leer la mensajería (mensajes en messengers populares y SMS), escuchar el entorno, supervisar la ubicación del dispositivo, supervisar el historial del navegador web, recibir acceso a la libreta telefónica y contactos, fotos y vídeos, hacer screenshots de la pantalla y fotos a través de la cámara del dispositivo, y también tiene función de keylogger.
Program.TrackView.1.origin: Detección de la aplicación que permite supervisar a usuarios a través de dispositivos en Android. Con este programa, los malintencionados pueden detectar la ubicación de dispositivos objetivo, usar la cámara para grabar vídeos y crear fotos, hacer la escucha con el micro, crear grabaciones de audio etc.
Program.SecretVideoRecorder.1.origin: Detección de varias versiones de la aplicación para la grabación de fotos y vídeos en segundo plano a través de las cámaras incrustadas de dispositivos en Android. Este programa puede funcionar de forma oculta al permitir desactivar las notificaciones sobre la grabación, así como cambiar el icono y la descripción de la aplicación por los falsos. Esta funcionalidad lo convierte en potencialmente peligroso.

Tool.NPMod.1: Detección de aplicaciones en Android modificadas con la utilidad NP Manager. Estos programas tienen implementado un módulo especial que permite esquivar la verificación de la firma digital una vez modificados los mismos.
Tool.SilentInstaller.14.origin
Tool.SilentInstaller.7.origin
Tool.SilentInstaller.6.origin: Plataformas potencialmente peligrosas que permiten a las aplicaciones iniciar los archivos APK sin instalar los mismos. Estas plataformas crean un entorno de ejecución virtual en contexto de aplicaciones donde están incrustadas. Los archivos APK iniciados con las mismas pueden funcionar como si formaran parte de estos programas y recibir los mismos permisos de forma automática.
Tool.LuckyPatcher.1.origin: Una utilidad que permite modificar las aplicaciones en Android instaladas (crear parches para las mismas) para modificar su lógica de funcionamiento o esquivar alguna restricción. Por ejemplo, con la misma los usuarios pueden intentar desactivar la comprobación del acceso root en programas bancarios o recibir los recursos ilimitados en los juegos. Para crear los parches la utilidad descarga de Internet los scripts preparados a propósito que pueden ser creados y añadidos a la base común por cualquier interesado. La funcionalidad de estos scripts así mismo puede ser maliciosa, por lo tanto, los parches creados pueden ser de peligro potencial.

Adware.ModAd.1: Detección de algunas versiones modificadas del messenger WhatsApp cuya funcionalidad tiene implementado un código para cargar los enlaces establecidos a través de la visualización web durante el trabajo con messenger. Desde estas direcciones de Internet se redirige a los sitios web publicitados, por ejemplo, los casinos en línea y las casas de apuestas, sitios web para adultos.
Adware.Adpush.21846
Adware.AdPush.39.origin: Los módulos de publicidad que pueden ser integrados en programas en Android. Visualizan las notificaciones de publicidad que pueden engañar a usuarios. Por ejemplo, estas notificaciones pueden parecer mensajes del sistema operativo. Además, estos módulos recaban algunos datos privados y también pueden cargar otras aplicaciones e iniciar su instalación.
Adware.Airpush.7.origin: Un representante de la familia de módulos de publicidad incrustados en aplicaciones en Android que visualizan publicidad de varios tipos. En función de la versión y modificación, pueden ser notificaciones de publicidad, ventanas emergentes o banners. Con estos módulos, los malintencionados frecuentemente propagan malware al proponer instalación de algún software. Además, estos módulos transfieren al servidor remoto varios tipos de información privada.
Adware.ShareInstall.1.origin: Un módulo de publicidad que puede ser integrado en programas en Android. Visualiza las notificaciones de publicidad en la pantalla de bloqueo de SO.

Para proteger los dispositivos en Android contra malware y programas no deseados, recomendamos a usuarios instalar los productos antivirus Dr.Web para Android.

Indicadores de compromiso

Doctor Web: informe de actividad de virus para dispositivos móviles en enero de 2024

Fri, 29 Mar 2024 04:00:00 GMT

29 de marzo de 2024

Según los datos estadísticos de detecciones Dr.Web para dispositivos móviles Android, en enero de 2024 los usuarios con mayor frecuencia afrontaron adware troyano Android.HiddenAds. Comparado con el mes de diciembre del año 2023, el mismo se detectó en dispositivos protegidos con mayor frecuencia, un 54,45% más. Así mismo, la actividad de otra familia popular de adware troyano, Android.MobiDash, casi no cambió, al haber aumentado solo un 0,9%.

El número de ataques de troyanos bancarios de varias familias creció un 17,04%, el de spyware troyano Android.Spy ― un 11,16%, y el de malware extorsionista Android.Locker ― solo un 0,92%.

Así mismo, nuestros expertos detectaron más amenazas en el catálogo Google Play. Entre las mismas destaca la nueva familia de módulos de adware no deseados Adware.StrawAd, así como software troyano de la familia Android.FakeApp. Los últimos son usados por los malintencionados para realizar varios esquemas fraudulentos.

TENDENCIAS CLAVE DEL MES DE ENERO

Software troyano Android.HiddenAds sigue siendo líder en cuanto al número de detecciones en dispositivos protegidos
Subió la actividad de muchas familias de malware en Android
Más amenazas detectadas en el catálogo Google Play

Según los datos de productos antivirus Dr.Web para Android

Android.HiddenAds.3851
Android.HiddenAds.3831: Software troyano para visualizar publicidad importuna. Los representantes de esta familia se propagan frecuentemente camuflados por aplicaciones legales y en algunos casos se instalan en el catálogo de sistema por otro malware. Al penetrar en dispositivos en Android, estos troyanos de publicidad suelen ocultar al usuario su propia presencia en el sistema — por ejemplo, «ocultan» el icono de la aplicación del menú de la pantalla principal.
Android.Spy.5106
Android.Spy.4498: Detección de un programa troyano que consiste en versiones modificadas de modificaciones no oficiales de la aplicación WhatsApp. Puede robar el contenido de notificaciones, ofrecer la instalación de programas de fuentes desconocidas, y durante el uso del Messenger — visualizar las ventanas de diálogo con contenido configurado a distancia.
Android.MobiDash.7805: Un programa troyano que visualiza publicidad importuna. Consiste en un módulo de software que los desarrolladores de software incrustan en aplicaciones.

Program.CloudInject.1: Detección de aplicaciones en Android modificadas con el servicio en la nube CloudInject y la utilidad en Android con el mismo nombre (añadida a la base de virus Dr.Web como Tool.CloudInject). Estos programas se modifican en el servidor remoto, así mismo, el usuario interesado en su modificación (modder) no controla qué exactamente se incrustará en los mismos. Además, las aplicaciones reciben un conjunto de permisos prohibidos. Una vez modificados los programas, el modder puede administrarlos a distancia — bloquear, visualizar los diálogos personalizados, supervisar el hecho de instalación y desinstalación de otro software etc.
Program.FakeAntiVirus.1: Detección de adware que imita el funcionamiento de software antivirus. Estos programas pueden informar sobre amenazas no existentes y engañar a usuarios al requerir la compra de una versión completa.
Program.wSpy.3.origin: Un programa espía comercial para supervisar a titulares de dispositivos en Android de forma no autorizada. Permite a los malintencionados leer la mensajería (mensajes en messengers populares y SMS), escuchar el entorno, supervisar la ubicación del dispositivo, supervisar el historial del navegador web, acceder a la libreta telefónica y contactos, fotos y vídeos, hacer pantallazos y fotos a través de la cámara del dispositivo, así mismo, tiene función de keylogger.
Program.FakeMoney.7: Detección de aplicaciones que supuestamente permiten ganar dinero al realizar alguna tarea. Estos programas imitan el abono de premios, así mismo, para poder usar el dinero “ganado” hay que acumular un importe determinado. Hasta si los usuarios lo consiguen, no pueden recibir los pagos.
Program.TrackView.1.origin: Detección de una aplicación que permite supervisar a los usuarios a través de dispositivos en Android. Con este programa los malintencionados pueden detectar la ubicación de dispositivos objetivo, usar la cámara para grabar vídeos y crear fotos, realizar la escucha con el micrófono, crear grabaciones de audio etc.

Tool.NPMod.1: Detección de aplicaciones en Android modificadas con la utilidad NP Manager. Estos programas tienen incrustado un módulo especial que permite esquivar la comprobación de la firma digital una vez modificados los mismos.
Tool.SilentInstaller.14.origin
Tool.SilentInstaller.7.origin
Tool.SilentInstaller.6.origin: Plataformas potencialmente peligrosas que permiten a las aplicaciones iniciar los archivos APK sin instalar los mismos. Estas plataformas crean un entorno de ejecución virtual en contexto de aplicaciones donde están incrustados. Los archivos APK iniciados con las mismas pueden funcionar como si fueran una parte de estos programas y obtener los mismos permisos de forma automática.
Tool.LuckyPatcher.1.origin: Una utilidad que permite modificar las aplicaciones en Android instaladas (crear los parches para las mismas) para modificar su lógica de funcionamiento o esquivar alguna restricción. Por ejemplo, con la misma los usuarios pueden intentar desactivar la comprobación de acceso root en programas bancarios u obtener los recursos ilimitados en juegos. Para crear los parches, la utilidad descarga de Internet los scripts preparados a propósito que pueden ser creados y añadidos a la base común por cualquier interesado. La funcionalidad de estos scripts puede así mismo resultar maliciosa, por lo tanto, los parches creados pueden ser de peligro potencial.

Adware.StrawAd.1: Detección de aplicaciones en Android que tienen incrustado un modulo de publicidad no deseado Adware.StrawAd.1.origin. Al desbloquear la pantalla de dispositivos en Android, este modulo visualiza anuncios de varios proveedores de servicios de publicidad.
Adware.AdPush.39.origin
Adware.Adpush.21846: Los módulos de publicidad que pueden ser integrados en programas en Android. Visualizan las notificaciones de publicidad que engañan a usuarios. Por ejemplo, estas notificaciones pueden recordar las notificaciones de sistema operativo. Además, estos módulos recaban algunos datos privados y también pueden descargar otras aplicaciones e iniciar su instalación.
Adware.Airpush.7.origin: Un representante de una familia de módulos de publicidad incrustados en aplicaciones en Android que visualizan varios tipos de publicidad. En función de la versión y modificación, pueden ser notificaciones de publicidad, ventanas emergentes o banners. Con estos módulos, los malintencionados con frecuencia propagan malware al proponer instalar algún tipo de software. Además, estos módulos transfieren varios tipos de información privada al servidor remoto.
Adware.ShareInstall.1.origin: Un módulo de publicidad que puede ser integrado en programas en Android. Visualiza notificaciones de publicidad en la pantalla de bloqueo de SO Android.

Amenazas en Google Play

A principios de enero de 2024 el laboratorio de virus de la empresa Doctor Web detectó en el catálogo Google Play algunos juegos con la plataforma de publicidad no deseada incrustada en los mismos Adware.StrawAd.1.origin:

Crazy Sandwich Runner
Purple Shaker Master
Poppy Punch Playtime, Meme Cat Killer
Toiletmon Camera Playtime
Finger Heart Matching
Toilet Monster Defense
Toilet Camera Battle
Toimon Battle Playground

Esta plataforma consiste en un módulo de software especial que se almacena cifrado en un catálogo con recursos de programas objetivo. Al desbloquear la pantalla, puede visualizar anuncios de varios proveedores de servicios de publicidad. El antivirus Dr.Web detecta las aplicaciones con Adware.StrawAd.1.origin como representantes de la familia Adware.StrawAd.

Así mismo, durante el mes de enero nuestros expertos detectaron algunos programas falsificados de la familia Android.FakeApp. Así, por ejemplo, el troyano Android.FakeApp.1579 se ocultaba en la aplicación Pleasant Collection camuflado por un software para leer cómics.

Su única tarea, sin embargo, era descargar los recursos de Internet fraudulentos. Entre los mismos, podrían detectarse los sitios web que supuestamente permitían acceder a algunos juegos, así mismo, de categoría “para adultos”. Un ejemplo de uno de ellos puede consultarse más abajo.

En este caso, a la víctima potencial antes de “empezar” el juego se le ofrecía contestar varias preguntas, y luego indicar los datos personales, y posteriormente también los datos de tarjeta bancaria, supuestamente, para comprobar su edad.

Entre los representantes detectados de la familia Android.FakeApp otra vez se detectaron los programas que se difundían camuflados juegos. Fueron añadidos a la base de virus del antivirus Dr.Web como Android.FakeApp.1573, Android.FakeApp.1574, Android.FakeApp.1575, Android.FakeApp.1577 y Android.FakeApp.32.origin.

En determinadas condiciones, estas falsificaciones podían abrir los sitios web de casinos en línea y casas de apuestas. Un ejemplo de su funcionamiento como juegos:

Un ejemplo de un sitio web abierto por los mismos:

La tarea de algunos otros troyanos también fue abrir los sitios web de casinos en línea y casas de apuestas. Así, por ejemplo, Android.FakeApp.1576 se ocultaba en un programa para clases de maquillaje Contour Casino Glam y en una herramienta para crear memes Fortune Meme Studio. Y Android.FakeApp.1578 estaba en una aplicación linterna llamada Lucky Flash Casino Light.

Una vez instaladas, las mismas funcionaban como aplicaciones legales, pero al cabo de un rato podían empezar a abrir los sitios web objetivo.

Además, los malintencionados difundían varios tipos de troyanos Android.FakeApp.1564 y Android.FakeApp.1580 camuflados por aplicaciones financieras, manuales, programas para participar en encuestas y otro software.

Estos programas falsificados abrían los sitios web de estafa de temática financiera donde a las víctimas potenciales supuestamente en nombre de empresas conocidas se ofrecían varios servicios. Por ejemplo, los usuarios “podían” ser inversores o mejorar su alfabetización financiera. Para “acceder" a algún servicio, los mismos tenían que someterse a una encuesta y registrar la cuenta al indicar los datos personales.

Ejemplos de sitios web abiertos:

Para proteger los dispositivos en Android contra malware y software no deseado recomendamos a los usuarios instalar los productos antivirus Dr.Web para Android.

Indicadores de compromiso

Su Android necesita protección.

Use Dr.Web

Primer antivirus ruso para Android
Más de 140 millones de descargas solo desde Google Play
Gratis para usuarios de productos de hogar Dr.Web

Descargar gratis

Doctor Web: informe de actividad de virus para dispositivos móviles en diciembre de 2023

Tue, 30 Jan 2024 00:00:00 GMT

30 de enero de 2023

Según los datos estadísticos de detecciones Dr.Web para dispositivos móviles Android, en diciembre del año 2023 el malware más activo otra vez se refiere a algunos programas de publicidad troyanos Android.HiddenAds. Pero los usuarios afrontaron los mismos con menor frecuencia, un 53,89% menos comparado con el mes anterior. Además, bajó el número de ataques de adware bancario y aplicaciones espía ― un 0,88% y un 10,83% respectivamente.

Durante el último mes del año pasado los analistas de virus de la empresa Doctor Web detectaron en el catálogo Google Play otro malware falso de la familia Android.FakeApp, aplicado en varios esquemas fraudulentos. Así mismo, nuestros expertos detectaron otros sitios web a través de los cuales los malintencionados difundían las aplicaciones falsas de criptomonederos.

TENDENCIAS CLAVE DEL MES DE DICIEMBRE

En los dispositivos protegidos con mayor frecuencia se detectaba malware troyano de la familia Android.HiddenAds
Reducción de la actividad de troyanos bancarios y malware espía
En el catálogo Google Play fue detectado nuevo malware
Otra vez se detectaron algunos sitios web que propagaban las aplicaciones falsas de criptomonederos para dispositivos tanto con SO Android como iOS

Según los datos de productos antivirus Dr.Web para Android

Android.Spy.5106: Detección de un programa troyano que consiste en versiones modificadas de modificaciones no oficiales de la aplicación WhatsApp. Puede robar el contenido de notificaciones, proponer la instalación de programas de orígenes desconocidos, y durante el uso del messenger — visualizar las ventanas de diálogo con contenido configurado a distancia.
Android.HiddenAds.3831
Android.HiddenAds.3851: Los programas troyanos para visualizar publicidad importuna. Los representantes de esta familia con frecuencia se difunden camuflados por aplicaciones legales y en algunos casos se instalan en el catálogo de sistema por otro malware. Al penetrar en dispositivos con Android, este adware troyano suele ocultar al usuario su propia presencia en el sistema — por ejemplo, «oculta» el icono de la aplicación del menú de la pantalla principal.
Android.MobiDash.7805: Un programa troyano que visualiza publicidad importuna. Es un complemento incrustado en aplicaciones por los desarrolladores de software.
Android.Click.1751: Un troyano incrustado en modificaciones del messenger WhatsApp que se camufla por clases de bibliotecas de Google. Durante el uso de la aplicación portadora Android.Click.1751 realiza solicitudes a un servidor de control. En respuesta, el troyano recibe dos enlaces, uno de los cuales sirve para los usuarios de habla rusa, y el otro para todos los demás. Posteriormente, visualiza una ventana de diálogo con el contenido recibido del servidor y, al pulsar el usuario el botón de confirmación, carga en enlace correspondiente en el navegador.

Program.CloudInject.1: Detección de aplicaciones para Android modificadas con el servicio en la nube CloudInject y la utilidad en Android del mismo nombre (añadida a la base de virus Dr.Web como Tool.CloudInject). Estos programas se modifican en el servidor remoto, así mismo, el usuario interesado en su modificación (modder) no controla qué exactamente se incrustará en los mismos. Además, las aplicaciones reciben un conjunto de permisos peligrosos. Una vez modificados los programas, el modder puede administrarlos de forma remota — bloquearlos, visualizar los diálogos personalizados, supervisar el hecho de instalación y eliminación de otro software etc.
Program.FakeAntiVirus.1: Detección de adware que imita el funcionamiento de software antivirus. Estos programas pueden informar sobre las amenazas no existentes y engañar a usuarios al demandar la compra de la versión completa.
Program.wSpy.3.origin: Un programa comercial espía para la supervisión oculta a titulares de dispositivos en Android. Permite a los malintencionados leer la mensajería (mensajes en messengers populares y SMS), escuchar el entorno, supervisar la ubicación del dispositivo, supervisar el historial del navegador web, acceder a la libreta telefónica y contactos, fotos y vídeos, hacer screenshots de la pantalla y fotos a través de la cámara del dispositivo, y también tiene función de keylogger.
Program.FakeMoney.7: Detección de aplicaciones que supuestamente permiten ganar dinero al realizar alguna acción o tarea. Estos programas imitan el abono de premios, así mismo, para poder usar el dinero “ganado”, hay que acumular un importe determinado. Hasta si los usuarios lo consiguen, no pueden recibir los pagos.
Program.SecretVideoRecorder.1.origin: Detección de varias versiones de la aplicación para la grabación de fotos y videos a través de las cámaras incrustadas de dispositivos en Android. Este programa puede funcionar de forma no autorizada, al permitir desactivar las notificaciones de grabación, así como modificar el icono y la descripción de la aplicación por los falsos. Esta funcionalidad lo convierte en potencialmente peligroso.

Tool.NPMod.1: Detección de aplicaciones en Android modificadas con la utilidad NP Manager. Estos programas tienen incrustado un módulo especial que permite esquivar la verificación de la firma digital una vez modificados.
Tool.LuckyPatcher.1.origin: Una utilidad que permite modificar las aplicaciones en Android instaladas (crear parches para las mismas) para modificar su lógica de funcionamiento o esquivar alguna restricción. Por ejemplo, con la misma los usuarios pueden intentar desactivar la comprobación del acceso root en programas bancarios o recibir los recursos ilimitados en los juegos. Para crear los parches, la utilidad descarga de Internet los scripts preparados a propósito que pueden ser creados y añadidos a la base común por cualquier persona interesada. La funcionalidad de estos scripts también puede ser maliciosa, por lo tanto, los parches creados pueden ser de amenaza potencial.
Tool.SilentInstaller.14.origin
Tool.SilentInstaller.7.origin: Plataformas potencialmente peligrosas que permiten a las aplicaciones iniciar los archivos APK sin instalar los mismos. Estas plataformas crean un entorno virtual de ejecución en contexto de aplicaciones donde están incrustadas. Los archivos APK iniciados con los mismos pueden funcionar como si formaran parte de estos programas, y recibir los mismos permisos de forma automática.
Tool.ApkProtector.16.origin: Detección de aplicaciones en Android protegidas por el comprimidor ApkProtector. Este comprimidor no es malicioso, pero los malintencionados pueden usarlo para crear los programas troyanos y no deseados para que los antivirus detecten los mismos con mayor dificultad.

Adware.ShareInstall.1.origin: Un módulo de publicidad que puede ser integrado en programas en Android. Visualiza las notificaciones de publicidad en la pantalla de bloqueo de SO Android.
Adware.Adpush.21846
Adware.AdPush.39.origin: Los módulos de publicidad que pueden ser integrados en programas en Android. Visualizan las notificaciones de publicidad que engañan a usuarios, Por ejemplo, estas notificaciones pueden ser similares a mensajes del sistema operativo. Además, estos módulos recopilan algunos datos privados, y también pueden descargar otras aplicaciones e iniciar su instalación.
Adware.Airpush.7.origin: Un representante de la familia de módulos de publicidad incrustados en aplicaciones en Android que visualizan publicidad de varios tipos. En función de versión y modificación, pueden ser notificaciones publicitarias, ventanas emergentes o banners. Con estos módulos, los malintencionados con frecuencia difunden malware al ofrecer instalar algún software. Además, estos módulos transfieren al servidor remoto varios tipos de información privada.
Adware.Fictus.1.origin: Un módulo de publicidad incrustado por los malintencionados en las versiones clones de juegos populares y programas en Android. Se integra en los programas mediante un comprimidor especializado net2share. Las copias de software creadas de esta forma se difunden a través de varios catálogos de aplicaciones y, una vez instaladas, visualizan publicidad importuna.

Amenazas en Google Play

En diciembre del año 2023 los expertos de la empresa Doctor Web detectaron en el catálogo Google Play nuevos programas troyanos de la familia Android.FakeApp. Por ejemplo, los malintencionados difundieron Android.FakeApp.1564 camuflado por una aplicación que permite contabilizar las deudas. El troyanoAndroid.FakeApp.1563 se ocultaba en un programa de encuestas. Y Android.FakeApp.1569 fue presentado por los malintencionados por una herramienta que permite aumentar la productividad y tener hábitos útiles.

Todos estos programas falsos abrían los sitios web dedicados a finanzas que copiaban el diseño de los sitios web reales de bancos, agencias de noticias y otras entidades conocidas. Además, para su diseño se usaban los títulos y logos correspondientes. En estos recursos de Internet fraudulentos a los usuarios se les ofrecía ser inversores, realizar programas de alfabetización financiera, recibir prestaciones financieras etc. Así mismo, había que indicar los datos personales ― supuestamente para registrar la cuenta y acceder a los servicios correspondientes.

Ejemplos de sitios web falsos cargados por troyanos:

Así mismo, las aplicaciones malware Android.FakeApp.1566, Android.FakeApp.1567 y Android.FakeApp.1568 se difundían camufladas por juegos:

En vez de iniciar juegos, los mismos podían abrir los sitios web de apuestas y casinos online, como se puede observar en un ejemplo más abajo.

Funcionamiento de un programa troyano de este tipo en modo de juego:

Un sitio web cargado por el mismo:

Para proteger los dispositivos en Android contra malware y software no deseado, recomendamos a los usuarios instalar los productos antivirus Dr.Web para Android.

Indicadores de compromiso

Su Android necesita protección.

Use Dr.Web

Primer antivirus ruso para Android
Más de 140 millones de descargas solo desde Google Play
Gratis para usuarios de productos de hogar Dr.Web

Descargar gratis

Doctor Web: informe de la actividad de virus para dispositivos móviles en noviembre de 2023

Thu, 21 Dec 2023 01:00:00 GMT

21 de diciembre de 2023

Según los datos estadísticos de detecciones Dr.Web para dispositivos móviles Android, en noviembre del año 2023 los usuarios afrontaron adware troyano de las familias Android.HiddenAds y Android.MobiDash con menor frecuencia. La actividad de los primeros bajó un cuarto (25,03%), y la de los segundos — más de un tercio (35,87%). Además, en los dispositivos protegidos con menor frecuencia se detectaban los troyanos bancarios y spyware — un 3,53% y un 17,10% respectivamente.

Además, los malintencionados otra vez difundieron malware a través del catálogo Google Play. Nuestros expertos detectaron en el mismo más de dos decenas de programas troyanos de la familia Android.FakeApp usados para estafa, así como otro troyano que suscribe a titulares de dispositivos en Android a servicios de pago.

TENDENCIAS CLAVE DEL MES DE NOVIEMBRE

Reducción de la actividad de adware troyano
Reducción de la actividad de troyanos bancarios y spyware
Difusión de nuevo malware a través del catálogo Google Play

Según los datos de los productos antivirus Dr.Web para Android

Android.HiddenAds.3831
Android.HiddenAds.3697: Programas troyanos para visualizar publicidad importuna. Los representantes de esta familia con mucha frecuencia se difunden, camuflados, por aplicaciones legítimas y en algunos casos se instalan en el catálogo de sistema por otro malware. Al penetrar en dispositivos en Android, estos troyanos de publicidad suelen ocultar su presencia en el sistema al usuario — por ejemplo, «esconden» el icono de la aplicación del menú de la pantalla principal.
Android.MobiDash.7805: Un programa troyano que visualiza publicidad importuna. Es un complemento que los desarrolladores de software incrustan en aplicaciones.
Android.Spy.5106: Detección del programa troyano que consiste en versiones modificadas de modificaciones no oficiales de la aplicación WhatsApp. Puede robar el contenido de notificaciones, ofrecer la instalación de programas de orígenes desconocidos y durante el uso del Messenger visualizar las ventanas de diálogo con el contenido configurado a distancia.
Android.Spy.5864: Con esta entrada de virus, el antivirus Dr.Web detecta un programa troyano que se oculta en algunas modificaciones terceras del messenger WhatsApp. Los malintencionados usan este malware para supervisar a usuarios. Por ejemplo, pueden buscar archivos en dispositivos de las víctimas y cargarlos al servidor remoto, recopilar los datos de la libreta telefónica, recibir la información sobre un dispositivo infectado, grabar audio del entorno para escucha etc.

Program.CloudInject.1: Detección de aplicaciones en Android modificadas con el servicio en la nube CloudInject y la utilidad en Android del mismo nombre (añadida a la base de virus Dr.Web como Tool.CloudInject). Estos programas se modifican en un servidor remoto, así mismo, el usuario interesado en su modificación (modder) no controla qué exactamente se incrustará en los mismos. Además, las aplicaciones reciben un conjunto de permisos peligrosos. Una vez modificados los programas, el modder puede administrar los mismos a distancia — bloquear, visualizar los diálogos configurados, supervisar el hecho de instalación y eliminación de otro software etc.
Program.FakeAntiVirus.1: Detección de programas de publicidad que imitan el funcionamiento de software antivirus. Estos programas pueden informar sobre las amenazas no existentes y engañar a usuarios al demandar la compra de la versión completa.
Program.wSpy.3.origin: Un programa espía comercial para supervisar a titulares de dispositivos en Android de forma no autorizada. Permite a los malintencionados leer la mensajería (mensajes en messengers populares y SMS), escuchar el entorno, supervisar la ubicación del dispositivo, supervisar el historial del navegador web, acceder a la libreta telefónica y contactos, fotos y vídeos, y también tiene función de keylogger.
Program.FakeMoney.7: Detección de aplicaciones que supuestamente permiten ganar dinero al realizar alguna acción o tarea. Estos programas imitan el abono de premios, así mismo, para usar el dinero “ganado” hay que acumular un importe determinado. Hasta si los usuarios lo consiguen, no pueden recibir los pagos.
Program.TrackView.1.origin: Detección de la aplicación que permite supervisar a usuarios a través de dispositivos en Android. Con este programa los malintencionados pueden detectar la ubicación de dispositivos objetivo, usar la cámara para grabar vídeos y crear fotos, realizar la escucha con el micro, crear grabaciones de audio etc.

Tool.NPMod.1: Detección de aplicaciones en Android modificadas con la utilidad NP Manager. Estos programas tienen implementado un módulo especial que permite esquivar la comprobación de la firma digital una vez modificados.
Tool.SilentInstaller.14.origin
Tool.SilentInstaller.7.origin
Tool.SilentInstaller.6.origin: Plataformas potencialmente peligrosas que permiten a las aplicaciones iniciar los archivos APK sin instalar los mismos. Estas plataformas crean un entorno virtual de ejecución en contexto de aplicaciones donde están incrustadas. Los archivos APK iniciados con los mismos pueden funcionar como si formaran parte de estos programas, y recibir los mismos permisos de forma automática.
Tool.LuckyPatcher.1.origin: Una utilidad que permite modificar las aplicaciones en Android instaladas (crear los parches para las mismas) para modificar su lógica de funcionamiento y esquivar alguna restricción. Por ejemplo, con la misma los usuarios pueden intentar desactivar la comprobación del acceso root en programas bancarios o recibir los recursos ilimitados en los juegos. Para crear los parches, la utilidad descarga de Internet los scripts creados a propósito que pueden ser creados y añadidos a la base común por cualquier persona interesada. La funcionalidad de estos scripts puede así mismo ser nociva, por lo tanto, los parches creados pueden ser de peligro potencial.

Adware.ShareInstall.1.origin: Un módulo de publicidad que puede ser integrado en programas en Android. Visualiza las notificaciones de publicidad en la pantalla de bloqueo del SO Android.
Adware.AdPush.36.origin
Adware.AdPush.39.origin
Adware.Adpush.21846: Los módulos de publicidad que pueden ser integrados en programas en Android. Visualizan las notificaciones de publicidad que engañan a usuarios. Por ejemplo, estas notificaciones pueden parecer mensajes del sistema operativo. Además, estos módulos recopilan algunos datos privados y también pueden descargar otras aplicaciones e iniciar su instalación.
Adware.Airpush.7.origin: Un representante de la familia de módulos de publicidad incrustados en aplicaciones en Android que visualizan publicidad de varios tipos. En función de la versión y modificación, pueden ser notificaciones de publicidad, ventanas emergentes o banners. Con estos módulos, los malintencionados con frecuencia difunden malware al proponer la instalación de algún software. Además, estos módulos transfieren la información privada de varios tipos al servidor remoto.

Amenazas en Google Play

En noviembre el laboratorio de virus de la empresa Doctor Web detectó en el catálogo Google Play más malware de la familia Android.FakeApp. Algunos de los mismos se difundían camuflados por programas dedicados a finanzas — aplicaciones de formación y manuales, contabilidad de hogar, herramientas para acceder a servicios de inversión etc. Entre los mismos, Android.FakeApp.1497, Android.FakeApp.1498, Android.FakeApp.1499, Android.FakeApp.1526, Android.FakeApp.1527 y Android.FakeApp.1536. Su tarea básica es abrir los sitios web de estafa donde a los usuarios se les ofrece ser inversores. Para realizarlo, los mismos deben indicar sus datos personales.

Otro programa falsificación, Android.FakeApp.1496, se ocultaba en un manual con acceso a la información legal. Podía abrir el sitio web a través del cual las víctimas de los estafadores del ámbito de inversiones supuestamente podían recibir ayuda legal y recuperar el dinero perdido.

El sitio web que abría este programa troyano puede consultarse más abajo. El visitante debe responder a varias preguntas y luego rellenar el formulario para “recibir una consulta gratuita con un abogado”.

Otros programas falsificaciones fueron otra vez camuflados por juegos por los malintencionados. Por ejemplo, Android.FakeApp.1494, Android.FakeApp.1503, Android.FakeApp.1504, Android.FakeApp.1533 y Android.FakeApp.1534. En algunos casos los mismos realmente funcionan como juegos, pero su función básica es abrir los sitios web en casinos en línea y casas de apuestas.

Ejemplos de funcionamiento de estos troyanos como juegos:

Un ejemplo del sitio web de casas de apuestas abierto por uno de los mismos:

Así mismo, nuestros expertos detectaron otro malware que sirve para conectar a usuarios a servicios de pago. Los malintencionados lo difundían camuflado por la aplicación Air Swipes para administrar dispositivos en Android con gestos.

Al iniciarse, este troyano abre el sitio web del servicio de socios a través del cual se formaliza la suscripción:

Si la víctima inicia el programa con acceso a Internet desactivado o si el sitio web objetivo no está disponible, el programa se camufla por la aplicación prometida, pero no tiene ninguna funcionalidad útil al informar de un error. El Antivirus Dr.Web detecta esta aplicación troyana como Android.Subscription.21.

Para proteger dispositivos en Android contra malware y software no deseados recomendamos a los usuarios instalar los productos antivirus Dr.Web para Android.

Indicadores de compromiso

Su Android necesita protección.

Use Dr.Web

Primer antivirus ruso para Android
Más de 140 millones de descargas solo desde Google Play
Gratis para usuarios de productos de hogar Dr.Web

Descargar gratis

Doctor Web: informe de la actividad de virus para dispositivos móviles en octubre de 2023

Wed, 22 Nov 2023 01:00:00 GMT

22 de noviembre de 2023

Según los datos estadísticos de detecciones Dr.Web para dispositivos móviles en Android, en octubre del año 2023 con mayor frecuencia en dispositivos móviles se detectaban los troyanos bancarios de la familia Android.HiddenAds. Comparado con el mes pasado, su actividad subió un 46,16%. El número de ataques del segundo tipo de troyanos bancarios más frecuentes de la familia Android.MobiDash también subió — un 7,07%. Además, los usuarios afrontaron spyware y troyanos bancario con mayor frecuencia — un 18,27% y un 10,73% respectivamente.

Durante el mes de octubre los expertos de la empresa Doctor Web detectaron otras amenazas en el catálogo Google Play. Entre las mismas, decenas de varios tipos de software falsificado de la familia Android.FakeApp, usados por los malintencionados para fraudulencias, así como las aplicaciones troyanas Android.Proxy.4gproxy que convierten dispositivos en Android en servidores proxy.

TENDENCIAS CLAVE DEL MES DE OCTUBRE

Crecimiento de la actividad de adware troyano
Crecimiento de la actividad de spyware y de troyanos bancarios
Aparición de múltiples nuevas aplicaciones maliciosas en el catálogo Google Play

Según los datos de los productos antivirus Dr.Web para Android

Android.HiddenAds.3831
Android.HiddenAds.3697: Programas troyanos para visualizar publicidad importuna. Los representantes de esta familia con frecuencia se difunden camuflados por aplicaciones legales y en algunos casos se instalan en el catálogo de sistema por otro malware. Al penetrar en dispositivos en Android, estos troyanos de publicidad suelen ocultar al usuario su presencia en el sistema — por ejemplo, «ocultan» el icono de la aplicación del menú de la pantalla principal.
Android.Spy.4498
Android.Spy.5106: Detección de varias variantes del programa troyano que consiste en versiones modificadas de modificaciones no oficiales de la aplicación WhatsApp. Puede robar el contenido de notificaciones, proponer la instalación de software de fuentes no oficiales, y durante el uso del messenger — visualizar las ventanas de diálogo con el contenido configurado a distancia.
Android.MobiDash.7804: Un programa troyano que visualiza publicidad importuna. Consiste en un complemento que los desarrolladores de software incrustan en aplicaciones.

Program.CloudInject.1: Detección de aplicaciones en Android modificadas con el servicio en la nube CloudInject y la utilidad en Android con el mismo nombre (añadida a la base de virus de Dr.Web como Tool.CloudInject). Estos programas se modifican en el servidor remoto, así mismo, el usuario interesado en su modificación (modder) no controla qué exactamente se incrustará en los mismos. Además, las aplicaciones reciben un conjunto de permisos peligrosos. Una vez modificados los programas, el modder puede administrarlas a distancia — bloquear, visualizar los diálogos personalizados, supervisar el hecho de instalación y la eliminación de otro software etc.
Program.FakeAntiVirus.1: Detección de adware que imita el funcionamiento de software antivirus. Estos programas pueden informar sobre las amenazas no existente y engañar a usuarios al demandar el pago de la versión completa.
Program.FakeMoney.7: Detección de las aplicaciones que supuestamente permiten ganar dinero al realizar alguna acción o tarea. Estos programas imitan el abono de premios, así mismo, para poder usar el dinero “ganado”, hay que acumular un importe determinado. Hasta si los usuarios lo consiguen, no pueden recibir los pagos.
Program.wSpy.3.origin: Un spyware comercial para la supervisión oculta de titulares de dispositivos en Android. Permite a los malintencionados leer la mensajería (mensajes en messengers populares y SMS), escuchar el entorno, supervisar la ubicación del dispositivo, supervisar el historial del navegador web, acceder a la libreta telefónica y los contactos, las fotos y vídeos, hacer pantallazos y fotos a través de la cámara del dispositivo, y también tiene función de keylogger.
Program.SecretVideoRecorder.1.origin: Detección de varias versiones de la aplicación para la grabación de fotos y vídeos en segundo plano a través de las cámaras incrustadas de dispositivos en Android. Este programa puede funcionar de forma no autorizada, al permitir desactivar las notificaciones sobre la grabación, así como sustituir el icono y la descripción de la aplicación por los falsos. Esta funcionalidad lo convierte en potencialmente peligroso.

Tool.LuckyPatcher.1.origin: Una utilidad que permite modificar las aplicaciones en Android instaladas (crear parches para las mismas) para modificar su lógica de funcionamiento o esquivar alguna restricción. Por ejemplo, con la misma los usuarios pueden intentar desactivar la comprobación del acceso root en programas bancarios o recibir los recursos ilimitados en los juegos. Para crear los parches, la utilidad descarga de Internet los scripts preparados a propósito que cualquier interesado puede crear y añadir a la base común. La funcionalidad de estos scripts también puede ser maliciosa, por lo tanto, los parches creados pueden ser de peligro potencial.
Tool.SilentInstaller.14.origin
Tool.SilentInstaller.7.origin
Tool.SilentInstaller.6.origin: Plataformas potencialmente peligrosas que permiten a las aplicaciones iniciar los archivos APK sin instalar los mismos. Estas plataformas crean un entorno de ejecución virtual en contexto de aplicaciones donde están incrustadas. Los archivos APK iniciados con las mismas pueden funcionar como si formaran parte de estos programas, y recibir los mismos permisos de forma automática.
Tool.WAppBomber.1.origin: Una utilidad en Android para envíos masivos de mensajes en el messenger WhatsApp. Para su funcionamiento, necesita acceso a la lista de contactos de la libreta telefónica del usuario.

Adware.ShareInstall.1.origin: Un módulo de publicidad que puede ser integrado en programas en Android. Visualiza notificaciones de publicidad en la pantalla de bloqueo del SO Android.
Adware.MagicPush.1: Un módulo de publicidad incrustado en las aplicaciones en Android. Visualiza los banners emergentes por encima de la interfaz del sistema operativo, cuando este software no se usa. Estos banners contienen información engañosa. Con mayor frecuencia, en los mismos se informa sobre los archivos sospechosos supuestamente detectados, o se trata de la necesidad de bloquear spam u optimizar el consumo de energía del dispositivo. Para realizarlo, al usuario se le ofrece entrar en la aplicación correspondiente donde está incrustado uno de estos módulos. Al iniciar el programa, se visualiza publicidad.
Adware.AdPush.39.origin
Adware.AdPush.36.origin: Módulos de publicidad que pueden ser integrados en programas en Android. Visualizan notificaciones de publicidad que engañan a usuarios. Por ejemplo, estas notificaciones pueden parecer mensajes del sistema operativo. Además, estos módulos recopilan algunos datos privados, y también pueden descargar otras aplicaciones e iniciar su instalación.
Adware.Airpush.7.origin: Un representante de la familia de módulos de publicidad incrustados en las aplicaciones en Android que visualizan varios tipos de publicidad. En función de la versión y modificación, pueden ser notificaciones de publicidad, ventanas emergentes o banners. Con estos módulos los malintencionados con frecuencia difunden malware al proponer la instalación de algún tipo de software. Además, estos módulos transfieren varios tipos de información privada al servidor remoto.

Amenazas en Google Play

En octubre del año 2023 los analistas de virus de la empresa Doctor Web detectaron en el catálogo Play más de 50 aplicaciones maliciosas. Entre las mismas — los troyanos Android.Proxy.4gproxy.1, Android.Proxy.4gproxy.2, Android.Proxy.4gproxy.3 y Android.Proxy.4gproxy.4 que convertían los dispositivos infectados en servidores proxy y transferían el tráfico de terceros a través de los mismos de forma no autorizada. Varias modificaciones del primer troyano se difundían camufladas por el juego Photo Puzzle, el programa Sleepify para afrontar el insomnio y la herramienta Rizzo The AI chatbot para trabajar con un chatbot. El segundo se ocultaba en la aplicación para consultar el pronóstico del tiempo Premium Weather Pro. El tercero estaba incrustado en el programa — la libreta Turbo Notes. El cuarto fue difundido por los malintencionados camuflado por la aplicación Draw E para crear imágenes con una red neuronal.

Estas aplicaciones maliciosas tienen integrada la utilidad 4gproxy (se detecta por Dr.Web como Tool.4gproxy) que permite usar los dispositivos en Android como servidor proxy. Esta utilidad no es maliciosa y su uso puede ser legal. Pero en caso de troyanos indicados el trabajo con el proxy se realiza sin participación de usuarios ni su consentimiento explícito.

Así mismo, nuestros expertos detectaron decenas de nuevos programas troyanos de la familia Android.FakeApp, una parte de los cuales otra vez se difundió camuflada por aplicaciones financieras (por ejemplo, Android.FakeApp.1459, Android.FakeApp.1460, Android.FakeApp.1461, Android.FakeApp.1462, Android.FakeApp.1472, Android.FakeApp.1474 y Android.FakeApp.1485). Su tarea principal es abrir los sitios web de estafa donde a las víctimas potenciales se les ofrece ser inversores. Los malintencionados solicitan los datos personales a los usuarios y los invitan a invertir dinero en proyectos financieros o herramientas supuestamente ventajosas.

Otros programas falsificados (Android.FakeApp.1433, Android.FakeApp.1444, Android.FakeApp.1450, Android.FakeApp.1451, Android.FakeApp.1455, Android.FakeApp.1457, Android.FakeApp.1476 y otros) otra vez fueron camuflados por juegos de varios tipos. En determinadas condiciones en vez de iniciar los juegos, los mismos abrían los sitios web de casinos en línea o bookmakers.

Unos ejemplos de funcionamiento de estas aplicaciones troyanas como juegos:

Unos ejemplos de sitios web de casinos online abiertos por los mismos y de casas de apuestas:

La tarea similar la realizaba también el troyano Android.FakeApp.1478 que se ocultaba en un programa para consultar noticias y publicaciones sobre el deporte y pudo abrir los sitios web de corredores de apuestas.

Además, fueron detectados los nuevos programas troyanos que supuestamente ayudan a los titulares de dispositivos en Android a encontrar trabajo. Uno de ellos fue llamado Rixx (Android.FakeApp.1468), el otro — Catalogue (Android.FakeApp.1471). Al iniciarse, este malware visualiza una lista falsa de ofertas de trabajo. Si las víctimas potenciales intentan contestar a algún anuncio, se les ofrece indicar los datos personales en un formulario especial o ponerse en contacto con el “empleador” a través de messengers, por ejemplo, WhatsApp o Telegram.

Más abajo puede consultarse un ejemplo de funcionamiento de un malware de este tipo. El troyano visualiza un formulario phishing camuflado por una ventana para crear un currículum u ofrece contactar con el “empleador” por messenger.

Para proteger los dispositivos en Android contra malware y software no deseado recomendamos a los usuarios instalar los productos antivirus Dr.Web para Android.

Indicadores de compromiso

Su Android necesita protección.

Use Dr.Web

Primer antivirus ruso para Android
Más de 140 millones de descargas solo desde Google Play
Gratis para usuarios de productos de hogar Dr.Web

Descargar gratis

Doctor Web: informe de la actividad de virus para dispositivos móviles en septiembre de 2023

Thu, 26 Oct 2023 18:19:24 GMT

26 de octubre de 2023

A principios de septiembre la empresa Doctor Web publicó un análisis de Android.Pandora.2 — un backdoor que crea una botnet a base de los dispositivos infectados, capaz de realizar los ataques DDoS por comando de los malintencionados. Y a mediados del mes nuestros expertos informaron sobre malware de la familia Android.Spy.Lydia. on troyanos espía multifuncionales destinados para los usuarios iraníes. Los representantes de la familia se camuflan por una plataforma financiera para el comercio online y por comando de los atacantes pueden realizar varias acciones maliciosas. Por ejemplo, interceptar y enviar SMS, recabar la información sobre los contactos y la libreta telefónica, robar el contenido del portapapeles, abrir los sitios web phishing etc. Los troyanos Android.Spy.Lydia pueden ser aplicados en varios esquemas de estafa y usados para robar los datos personales. Además, con los mismos los malintencionados pueden robar el dinero de sus víctimas.

Según los datos de estadísticas de detecciones Dr.Web para dispositivos móviles Android, en septiembre del año 2023 la actividad de malware bajó comparado con el mes pasado. Por ejemplo, el adware troyano de familias Android.HiddenAds y Android.MobiDash se detectó en los dispositivos protegidos un 11,73% y un 26,30% menos respectivamente. El número de ataques de troyanos espía bajó un 25,11%, y de programas extorsionistas Android.Locker — un 10,52%, y troyanos bancarios — un 4,51%. Al mismo tiempo los titulares de dispositivos en Android afrontaron adware no deseado un 14,32% más.

Durante el mes de septiembre en el catálogo Google Play fueron detectadas múltiples nuevas amenazas. Entre las mismas, los troyanos de la familia Android.FakeApp, aplicados en varios esquemas de estafa, el malware de la familia Android.Joker, que suscribe a las víctimas a servicios de pago, así como adware troyano Android.HiddenAds.

TENDENCIAS CLAVE DEL MES DE SEPTIEMBRE

Reducción de la actividad de malware
Aparición de nuevo malware en el catálogo Google Play

Amenaza móvil del mes

En septiembre la empresa Doctor Web presentó los detalles del análisis del malware Android.Pandora.2, destinado sobre todo a usuarios de habla española. Los primeros casos de ataques con el mismo fueron registrados en marzo del año 2023.

Esta aplicación infecta los televisores inteligentes y consolas con Android TV, al penetrar en los mismos a través de las versiones comprometidas del malware, así como al instalar las versiones troyanas de programas para la consulta ilegal de vídeos online.

La función básica de Android.Pandora.2 — es realizar los ataques DDoS de varios tipos por comando de los malintencionados. Además, este malware puede realizar algunas otras acciones, por ejemplo — instalar sus propias actualizaciones y sustituir el archivo de sistema hosts.

La investigación de analistas de virus de Doctor Web demostró que para crear este troyano los creadores de virus usaron los trabajos de autores de Linux.Mirai, al usar una parte de su código como base. El último desde el año 2016 se usa activamente para infectar los dispositivos IoT- (los dispositivos de Internet de las cosas) y realizar los ataques DDoS a varios sitios web.

Según los datos de los productos antivirus Dr.Web para Android

Android.HiddenAds.3697: Un programa troyano para visualizar publicidad importuna. Los representantes de esta familia con frecuencia se difunden camuflados por aplicaciones legales y en algunos casos se instalan en el catálogo del sistema por otro malware. Al penetrar en dispositivos en Android, estos troyanos de publicidad suelen ocultar al usuario su propia presencia en el sistema — por ejemplo, “ocultan” el icono de la aplicación del menú de la pantalla principal.
Android.Spy.5106: Un programa troyano que consiste en versiones modificadas de modificaciones no oficiales de la aplicación WhatsApp. Puede robar el contenido de notificaciones, ofrecer la instalación de programas de orígenes desconocidos, y durante el uso del messenger — visualizar las ventanas de diálogo con el contenido configurado a distancia.
Android.Packed.57083: Detección del malware protegido por el comprimidor ApkProtector. Entre el mismo, hay troyanos bancarios, software espía y otro tipo de malware.
Android.Pandora.17: Detección de malware que descarga e instala el programa backdoor troyano Android.Pandora.2. Estos descargadores se incrustan con frecuencia por los malintencionados en las aplicaciones para Smart TV destinadas para los usuarios de habla hispana.
Android.MobiDash.7804: Un programa troyano que visualiza publicidad importuna. Es un complemento que los desarrolladores de software incrustan en aplicaciones.

Program.FakeAntiVirus.1: Detección de adware que imita el funcionamiento de software antivirus. Estos programas pueden informar sobre las amenazas no existentes y engañar a usuarios al demandar el pago por la compra de la versión completa.
Program.FakeMoney.7: Detección de aplicaciones que supuestamente permiten ganar dinero al realizar alguna acción o tarea. Estos programas imitan el abono de premios, así mismo, para usar el dinero “ganado” hay que acumular un importe determinado. Hasta si los usuarios lo consiguen, no pueden recibir los pagos.
Program.CloudInject.1: Detección de aplicaciones en Android modificadas con el servicio en la nube CloudInject y la utilidad en Android con el mismo nombre (añadida a las base de virus Dr.Web como Tool.CloudInject). Estos programas se modifican en un servidor remoto, así mismo, el usuario interesado en los mismos (modder) no controla qué exactamente se incrustará en los mismos. Además, las aplicaciones reciben un conjunto de permisos peligrosos. Una vez modificados, el usuario puede administrar estos programas de forma remota — bloquearlos, visualizar los diálogos personalizados, supervisar el hecho de instalación y eliminación de otro software etc.
Program.SecretVideoRecorder.1.origin: Detección de varias versiones de la aplicación para la grabación de fotos y vídeos en Segundo plano a través de las cámaras incrustadas de dispositivos en Android. Este programa puede funcionar de forma no autorizada al permitir desactivar las notificaciones de escritura, así como cambiar el icono y la descripción de la aplicación por los falsos. Esta funcionalidad lo convierte en potencialmente peligroso.
Program.wSpy.3.origin: Programa espía comercial para la supervisión no autorizada a los titulares de dispositivos en Android. Permite a los malintencionados leer la mensajería (mensajes en messengers populares y SMS), escuchar el entorno, supervisar la ubicación del dispositivo, supervisar el historial del navegador web, acceder a la libreta telefónica y contactos, fotos y vídeos, hacer pantallazos y fotos a través de la cámara del dispositivo, y también tiene función de keylogger.

Tool.SilentInstaller.14.origin
Tool.SilentInstaller.7.origin: Plataformas potencialmente peligrosas que permiten a las aplicaciones iniciar los archivos APK sin instalar los mismos. Crean un entorno virtual de ejecución que no afecta el sistema operativo básico.
Tool.LuckyPatcher.1.origin: Una utilidad que permite modificar las aplicaciones en Android instaladas (crear los parches para las mismas) para modificar su lógica de funcionamiento o esquivar alguna restricción. Por ejemplo, con la misma los usuarios pueden intentar desactivar la comprobación del acceso root en programas bancarios o recibir los recursos ilimitados en juegos. Para crear los parches, la utilidad descarga de Internet los scripts preparados a propósito que pueden ser creados y añadidos a la base común por cualquier persona interesada. La funcionalidad de estos scripts, así mismo, puede resultar maliciosa, por lo tanto, los parches creados pueden ser de peligro potencial.
Tool.Packer.3.origin: Detección de programas en Android cuyo código está cifrado y ofuscado por la utilidad NP Manager.
Tool.ApkProtector.16.origin: Detección de aplicaciones en Android protegidas por el comprimidor ApkProtector. Este comprimidor no es malicioso, pero los malintencionados pueden usarlo para crear los programas troyanos y no deseados para que los antivirus no detecten los mismos fácilmente.

Adware.ShareInstall.1.origin: Un módulo de publicidad que puede ser integrado en programas en Android. Visualiza las notificaciones de publicidad en la pantalla de bloqueo del SO Android.
Adware.MagicPush.1: Un módulo de publicidad incrustado en aplicaciones en Android. Visualiza los banners emergentes por encima de la interfaz del sistema operativo cuando estos programas no se usan. Estos banners contienen la información engañosa. Con mayor frecuencia, en los mismos se informa sobre los archivos sospechosos supuestamente detectados, o se menciona la necesidad de bloquear spam u optimizar el consumo de energía del dispositivo. Para realizarlo, al usuario se le ofrece entrar en la aplicación correspondiente donde está incrustado uno de estos módulos. Al abrir el programa, se visualiza publicidad.
Adware.AdPush.39.origin
Adware.AdPush.36.origin: Los módulos de publicidad de pueden ser integrados en las aplicaciones en Android. Visualizan notificaciones de publicidad que engañan a usuarios. Por ejemplo, estas notificaciones pueden ser similares a los mensajes del sistema operativo. Además, estos módulos recopilan algunos datos privados, y también pueden descargar otras aplicaciones e iniciar su instalación.
Adware.Airpush.7.origin: Un representante de la familia de módulos de publicidad incrustados en aplicaciones en Android que visualizan publicidad de varios tipos. En función de la versión y la modificación, pueden ser notificaciones de publicidad, ventanas emergentes o banners. Con estos módulos, los malintencionados con frecuencia difunden malware, al ofrecer la instalación de algún software. Además, estos módulos transfieren varios tipos de información privada al servidor remoto.

Amenazas en Google Play

En septiembre del año 2023 los analistas de virus de la empresa Doctor Web detectaron en el catálogo Google Play múltiple nuevo malware. Entre el mismo, los programas troyanos que visualizaban publicidad importuna. Los malintencionados los difundían camuflados por juegos Agent Shooter (Android.HiddenAds.3781), Rainbow Stretch (Android.HiddenAds.3785), Rubber Punch 3D (Android.HiddenAds.3786) y Super Skibydi Killer (Android.HiddenAds.3787). Una vez instalados en dispositivos en Android, estos troyanos intentaron ocultarse a los usuarios. Para realizarlo, suplantaban sus iconos ubicados en la pantalla principal por la versión transparente y sustituían sus nombres por los vacíos. Además, podían hacerse pasar por el navegador Google Chrome, al sustituir los iconos por la copia correspondiente. Cuando los usuarios hacen clic en este icono, los programas troyanos inician el navegador y siguen funcionando en segundo plano. Esto permite a los troyanos ser menos visibles y reduce la probabilidad de su eliminación prematura. Además, en caso de detener el malware, los usuarios lo reiniciarán, al pensar que reinician un navegador.

Así mismo, nuestros expertos detectaron más programas falsificados de la familia Android.FakeApp. Некоторые из них (Android.FakeApp.1429, Android.FakeApp.1430, Android.FakeApp.1432, Android.FakeApp.1434, Android.FakeApp.1435 y otros) se difundían camuflados por programas financieros. Por ejemplo, aplicaciones para las transacciones bursátiles, manuales y guías de formación de inversiones, contabilidad de hogar etc. En realidad, su tarea básica era descargar los sitios web de estafa donde a las víctimas potenciales se les ofrecía ser “inversores”.

Otros programas falsificados (por ejemplo, Android.FakeApp.1433, Android.FakeApp.1436, Android.FakeApp.1437, Android.FakeApp.1438, Android.FakeApp.1439 y Android.FakeApp.1440) fueron presentados por los malintencionados por varias aplicaciones de juegos. En algunos casos, los mismos realmente podían funcionar como juegos, pero su función principal era abrir los sitios web de casinos online.

Ejemplos de funcionamiento de este malware en modo de juego:

Ejemplos de los sitios web de casinos online abiertos por los mismos:

Así mismo, en el catálogo Google Play fueron detectados más programas troyanos de la familia Android.Joker que suscribían a los titulares de dispositivos en Android a servicios de pago. Uno de los mismos se ocultaba en una aplicación con un conjunto de imágenes Beauty Wallpaper HD, en clasificación de la empresa Doctor Web fue llamado Android.Joker.2216. Otro se difundió camuflado por un Messenger online Love Emoji Messenger y fue añadido a la base de virus Dr.Web como Android.Joker.2217.

Para proteger los dispositivos en Android contra malware y programas no deseados recomendamos a los usuarios instalar los productos antivirus Dr.Web para Android.

Indicadores de compromiso

Su Android necesita protección.

Use Dr.Web

Primer antivirus ruso para Android
Más de 140 millones de descargas solo desde Google Play
Gratis para usuarios de productos de hogar Dr.Web

Descargar gratis

Doctor Web: informe de la actividad de virus para dispositivos móviles en agosto de 2023

Wed, 27 Sep 2023 04:00:00 GMT

27 de septiembre de 2023

Según los datos estadísticos de detecciones Dr.Web para dispositivos móviles Android, en agosto del año 2023 entre malware más difundido otra vez se detectó adware troyano de familias Android.MobiDash y Android.HiddenAds. Así mismo, comparado con el mes anterior, los primeros se detectaban con mayor frecuencia, que subió un 72,23%, y al mismo tiempo la actividad de los segundos bajó un 8,87%.

El número de programas troyanos espía y de programas extorsionistas detectados en los dispositivos protegidos bajó un 13,88% y un 18,14% respectivamente. Además, los usuarios afrontaron troyanos bancarios con frecuencia un 2,13% mayor que en julio.

En agosto en el catálogo Google Play fue detectado otro malware

TENDENCIAS CLAVE DEL MES DE AGOSTO

Crecimiento importante de actividad de adware troyano Android.MobiDash
Reducción de la actividad de adware troyano Android.HiddenAds
Reducción de actividad de troyanos espía y programas de extorsión
Crecimiento del número de ataques de aplicaciones troyanas bancarias

Según los datos de los productos antivirus Dr.Web para Android

Android.HiddenAds.3697: Un programa troyano para visualizar publicidad importuna. Los representantes de esta familia con frecuencia se difunden camuflados por aplicaciones legales y en algunos casos se instalan en el catálogo de sistema por otro malware. Al penetrar en dispositivos en Android, estos troyanos de publicidad ocultan al usuario su presencia en el sistema— por ejemplo, «ocultan» el icono de la aplicación del menú de la pantalla principal.
Android.Spy.5106: Un programa troyano que consiste en versiones modificadas de modificaciones no oficiales de la aplicación WhatsApp. Puede robar el contenido de notificaciones, ofrecer instalación de programas de orígenes desconocidos, y durante el uso del Messenger — visualizar las ventanas de diálogo con contenido configurado a distancia.
Android.MobiDash.7802: Un programa troyano que visualiza publicidad importuna. Es un módulo de software que los desarrolladores de software incrustan en aplicaciones.
Android.Packed.57083: Detección de malware protegido por el comprimidor ApkProtector. Entre el mismo, hay troyanos bancarios, spyware y otro malware.
Android.Pandora.7: Detección de malware que descarga e instala el programa troyano backdoor Android.Pandora.2. Los malintencionados incrustan con frecuencia estos descargadores en aplicaciones para Smart TV destinadas para usuarios de habla hispana.

Program.FakeAntiVirus.1: Detección de adware que imita el funcionamiento del software antivirus. Estos programas pueden informar de amenazas no existentes y engañar a usuarios al requerir la compra de la versión completa.
Program.FakeMoney.7
Program.FakeMoney.8: Detección de aplicaciones que supuestamente permiten ganar dinero al realizar alguna acción o tarea. Estos programas imitan el abono de premios, pero para poder usar el dinero “ganado” se requiere ahorrar un importe determinado. Hasta si los usuarios lo consiguen, no pueden recibir los pagos.
Program.SecretVideoRecorder.1.origin: Detección de varias versiones de la aplicación para la grabación de fotos y de vídeos a través de las cámaras incrustadas de dispositivos en Android. Este programa puede funcionar de forma no autorizada, al permitir desactivar las notificaciones de grabación, así como sustituir el icono y la descripción de la aplicación por los falsos. Esta funcionalidad lo convierte en potencialmente peligroso.
Program.wSpy.1.origin: Programa espía comercial para la supervisión oculta de titulares de dispositivos en Android. Permite a los malintencionados leer la mensajería (mensajes en messengers populares y SMS), escuchar el entorno, supervisar la ubicación del dispositivo, supervisar el historial del navegador web, acceder a la libreta telefónica y contactos, fotos y vídeos, hacer pantallazos y fotos a través de la cámara del dispositivo, y también tiene función de keylogger.

Tool.LuckyPatcher.1.origin: Utilidad que permite modificar las aplicaciones en Android instaladas (crear parches para las mismas) para modificar su lógica de funcionamiento o esquivar alguna restricción. Por ejemplo, con el mismo los usuarios pueden intentar desactivar la comprobación del acceso root en programas bancarios o recibir los recursos ilimitados en los juegos. Para crear los parches, la utilidad descarga de Internet los scripts preparados a propósito que pueden ser creados y añadidos a la base por cualquier persona interesada. La funcionalidad de estos scripts puede así mismo ser maliciosa, por lo tanto, los parches creados pueden ser de amenaza potencial.
Tool.SilentInstaller.14.origin
Tool.SilentInstaller.7.origin
Tool.SilentInstaller.6.origin: Plataformas potencialmente peligrosas que permiten a las aplicaciones iniciar los archivos APK sin instalar los mismos, Crean un entorno virtual de ejecución que no afecta al sistema operativo básico.
Tool.ApkProtector.16.origin: Detección de aplicaciones en Android protegidas por el comprimidor ApkProtector. Este comprimidor no es malicioso, pero los malintencionados pueden usarlo para crear programas troyanos y no deseados para que los antivirus detecten los mismos con mayor dificultad.

Adware.AdPush.39.origin
Adware.AdPush.36.origin: Un módulo de publicidad que puede ser integrado en programas en. Visualiza notificaciones de publicidad que engañan a usuarios. Por ejemplo, qué notificaciones pueden ser similares a mensajes del sistema operativo. Además, este módulo recopila alguna información privada y también puede descargar otras aplicaciones e iniciar su instalación.
Adware.ShareInstall.1.origin: Un módulo de publicidad que puede ser integrado en programas en Android. Visualiza notificaciones de publicidad en la pantalla de bloqueo del SO Android.
Adware.MagicPush.1: Un módulo de publicidad incrustado en aplicaciones en Android. Visualiza los banners emergentes por encima de la interfaz del sistema operativo cuando estos programas no se usan. Estos banners contienen la información engañosa. Con mayor frecuencia, en los mismos se informa sobre los archivos sospechosos supuestamente detectados, y a veces también se menciona la necesidad de bloquear spam u optimizar el consumo de energía del dispositivo. Para eso, al usuario se le ofrece entrar en la aplicación correspondiente donde está incrustado uno de estos módulos. Al abrir el programa, el usuario ve publicidad.
Adware.Airpush.7.origin: Un representante de la familia de módulos de publicidad incrustados en aplicaciones en Android que visualizan publicidad de varios tipos. En función de la versión y modificación, pueden ser notificaciones de publicidad, las ventanas emergentes o banners. Con estos módulos, los malintencionados difunden malware con frecuencia, al proponer instalar algún software. Además, estos módulos transfieren al servidor remoto varios tipos de información privada.

Amenazas en Google Play

En agosto del año 2023 en el catálogo Google Play fue detectado el programa troyano Android.HiddenAds.3766. Se difundía camuflado por la aplicación — una recopilación de imágenes Exquisite Wallpaper Collection. Pero su función básica es visualizar publicidad importuna. Así mismo, Android.HiddenAds.3766 intenta ocultarse del usuario. El troyano sustituye su icono en la pantalla de inicio por la versión transparente, y también cambia su nombre por otro vacío. En algunos casos en vez de eso el malware puede sustituirlo por la copia del icono del navegador Google Chrome, al pulsar el cual se iniciará no la aplicación maliciosa sino el navegador mismo.

Para proteger los dispositivos en Android contra malware y programas no deseados recomendamos a los usuarios instalar los productos antivirus Dr.Web para Android.

Indicadores de compromiso

Su Android necesita protección.

Use Dr.Web

Primer antivirus ruso para Android
Más de 140 millones de descargas solo desde Google Play
Gratis para usuarios de productos de hogar Dr.Web

Descargar gratis

El arte de manipulación: los estafadores roban dinero con software para administración remota de dispositivos móviles

Fri, 22 Sep 2023 17:35:47 GMT

22 de septiembre de 2023

La empresa Doctor Web informa sobre los casos de estafa más frecuentes a través de programas de acceso remoto al escritorio. El programa RustDesk es de mayor popularidad entre los malintencionados.

A causa de recientes filtraciones de fragmentos de bases de datos de varios bancos, los estafadores ya tienen acceso a los datos personales de clientes. Los malintencionados usan estos datos para ganar la confianza de sus víctimas. Al hacerse pasar por el personal del servicio de soporte del banco, los delincuentes informan que en la cuenta de la víctima se nota una actividad sospechosa que puede causar la pérdida de dinero. Y para impedir el robo, supuestamente hay que instalar en el dispositivo un programa “de protección”. Los malintencionados ofrecen ir a la tienda de aplicaciones y escribir en la línea de búsqueda el texto como 2soporte de Sberbank”, “Soporte de VTB” etc.

Fuente: nakopi-deneg.ru

En realidad hasta hace poco en los resultados más populares de Google Play en caso de búsqueda por estas frases se encontraban los programas similares a AweSun Remote Desktop, RustDesk Remote Desktop, Escritorio remoto AnyDesk. Esta situación se debe a que el sistema de clasificación de aplicaciones en Google Play toma en consideración qué aplicación eligen los usuarios al introducir alguna solicitud de búsqueda. Y cuantas más personas que buscan la aplicación por palabras clave «soporte nombre_banco» hagan un error y sigan el enlace a la aplicación para administración remota, tanto más será recomendado este programa a usuarios por Google Play.

Cabe destacar que los programas de administración remota no son maliciosos. El problema surge cuando se aplican para realizar acciones ilegales.

Una vez instalada la aplicación, los malintencionados piden que la víctima le informe del identificador único, y luego empiezan a controlar el dispositivo. El acceso al dispositivo les permite realizar pagos y transferencias de la cuenta de la víctima. Así mismo, sen este caso no será posible justificar el hackeo ni revocar la orden de pago porque para el banco el dispositivo del cliente interacciona con el sistema de pagos.

Actualmente la empresa Google eliminó la aplicación RustDesk de la tienda Google Play. Por lo tanto, los malintencionados empezaron su actividad fuera de la plataforma, y ahora para realizar el esquema de estafa con administración remota usan los sitios web — por ejemplo, hххps://помощникбанков[.]рф.

En estos sitios web a las víctimas potenciales se les ofrece descargar la aplicación ya conocida para nosotros RustDesk. En algunos casos para “ganar confianza” en las aplicaciones descargadas el nombre y el icono están sustituidos por los correspondientes a algún banco. La sección con “referencias de usuarios satisfechos” también permite “ganar confianza”:

El antivirus Dr.Web detecta la aplicación RustDesk como Tool.RustDesk.1.origin, y las aplicaciones modificadas se detectan como Android.FakeApp.1426. Para mayor seguridad el componente filtro URL bloquea acceso a los sitios web de malintencionados sin permitir a los usuarios ser víctima del engaño.

La empresa Doctor Web recuerda:

Tenga prudencia al contestar a las llamadas de bancos y otras entidades.
Nunca instale programas en sus dispositivos por petición de alguien.
No informe a nadie los códigos de SMS o notificaciones push.
No hable con los “empleados de bancos”. Si les informan sobre el abono no autorizado de dinero de Su cuenta, cuelgue. Si desea asegurarse de que todo está bien, llame al banco por teléfono indicado en Su tarjeta.

Más información sobre Tool.RustDesk.1.origin

Más información sobre Android.FakeApp.1426

Indicadores de compromiso:

помощникбанков[.]рф
поддержкабанка[.]рф
поддержка-банка[.]рф
цбподдержка[.]рф
поддержкацб[.]рф
24поддержка[.]рф

sha1:2fcee98226ef238e5daa589fb338f387121880c6
sha1:f28cb04a56d645067815d91d079b060089dbe9fe
sha1:9a96782621c9f98e3b496a9592ad397ec9ffb162
sha1:535ecea51c63d3184981db61b3c0f472cda10092
sha1:ee406a21dcb4fe02feb514b9c17175ee95625213

Doctor Web: informe de la actividad de virus para dispositivos móviles en julio de 2023

Fri, 15 Sep 2023 03:00:00 GMT

15 de septiembre de 2023

Según los datos estadísticos de detecciones Dr.Web para dispositivos móviles Android, en julio del año 2023 los usuarios afrontaron los troyanos de publicidad de la familia Android.HiddenAds un 33,48% más que en junio. Así mismo, los troyanos de publicidad de la familia Android.MobiDash se detectaron un 24,11% menos. Comparado con el mes anterior, el número de ataques de programas troyanos espía bajó un 2,81%. Al mismo tiempo, la actividad de troyanos bancarios aumentó un 2,31%, y la de programas extorsionistas de la familia Android.Locker — un 8,53%.

En el catálogo Google Play fueron detectadas nuevas amenazas. Entre las mismas, un programa troyano con el cual los malintencionados intentaron robar la criptomoneda a los titulares de dispositivos en Android, así como otro malware que suscribía a las víctimas a los servicios de pago.

TENDENCIAS CLAVE DEL MES DE JULIO

Crecimiento de la actividad de adware troyano Android.HiddenAds
Reducción de la actividad de adware troyano Android.MobiDash
Crecimiento de la actividad de los troyanos bancarios y spyware
Nuevas amenazas en el catálogo Google Play

Según los datos de los productos antivirus Dr.Web para Android

Android.HiddenAds.3697: Un programa troyano para visualizar publicidad importuna. Los representantes de esta familia se difunden con frecuencia camuflados por aplicaciones no maliciosas y en algunos casos se instalan en el catálogo de sistema por otro malware. Al penetrar en dispositivos en Android, estos troyanos de publicidad normalmente ocultan al usuario su propia presencia en el sistema — por ejemplo, «ocultan» el icono de la aplicación del menú de la pantalla principal.
Android.Spy.5106: Un troyano que consiste en versiones modificadas de modificaciones no oficiales de la aplicación WhatsApp. Puede robar el contenido de notificaciones, ofrecer la instalación de programas de orígenes desconocidos, y durante el uso del Messenger — visualizar las ventanas de diálogo con el contenido configurado a distancia.
Android.Packed.57083: Detección de malware protegido por el comprimidor ApkProtector. Así mismo, de troyanos bancarios, spyware y otro malware.
Android.Pandora.7
Android.Pandora.5: Detección de malware que descarga e instala el backdoor troyano Android.Pandora.2. Estos descargadores se incrustan con frecuencia por los malintencionados en las aplicaciones para Smart TV destinadas para usuarios de habla hispana.

Program.FakeMoney.7
Program.FakeMoney.8: Detección de aplicaciones que supuestamente permiten ganar dinero al realizar alguna tarea. Imitan el abono de premios, así mismo, para poder usar el dinero “ganado” uno debe acumular un importe determinado. Hasta si los usuarios lo consiguen, lo pueden recibir los pagos.
Program.FakeAntiVirus.1: Detección de adware que imita el funcionamiento del software antivirus. Estos programas pueden informar sobre las amenazas no existentes o engañar a usuarios al demandar la compra de la versión completa.
Program.SecretVideoRecorder.1.origin: Detección de varias versiones de la aplicación para la grabación de fotos y vídeos en Segundo plano a través de las cámaras incrustadas de dispositivos en Android. Este programa puede funcionar de forma no autorizada, al permitir desactivar las notificaciones de grabación, y también sustituir el icono y la descripción de la aplicación por los falsos. Esta funcionalidad lo convierte en potencialmente peligroso.
Program.SnoopPhone.1.origin: Programa para supervisar a titulares de dispositivos en Android. Permite leer los SMS, recibir la información sobre las llamadas telefónicas, supervisar la ubicación y realizar la grabación de audio del entorno.

Tool.SilentInstaller.14.origin
Tool.SilentInstaller.6.origin: Plataformas potencialmente peligrosas que permiten a las aplicaciones iniciar los archivos APK sin instalar los mismas. Crean un entorno de ejecución virtual que no afecta al sistema operativo básico.
Tool.LuckyPatcher.1.origin: Una utilidad que permite modificar las aplicaciones en Android instaladas (crear los parches para las mismas) para modificar su lógica de funcionamiento o esquivar algunas restricciones. Por ejemplo, con la misma los usuarios pueden intentar desactivar la comprobación del acceso root en los programas bancarios o recibir los recursos ilimitados en los juegos. Para crear los parches, la utilidad descarga de Internet los scripts preparados a propósito que pueden ser creados y añadidos a la base común por cualquier persona interesada. La funcionalidad de estos scripts también puede resultar maliciosa, por lo tanto, los parches creados pueden ser de peligro potencial.
Tool.ApkProtector.16.origin: Detección de aplicaciones en Android protegidas por el comprimidor ApkProtector. Este comprimidor no es malicioso, pero los malintencionados pueden usarlo para crear los programas troyanos y no deseados para dificultar su detección por los antivirus.
Tool.Packer.3.origin: Detección de programas en Android con código cifrado y ofuscado por la utilidad NP Manager.

Adware.Fictus.1.origin: Un módulo de publicidad incrustado por los malintencionados en las versiones clones de juegos Android populares y programas. Su integración en los programas se realiza con un comprimidor especializado net2share. Las copias de software creadas de esta forma se difunden a través de varias aplicaciones y una vez instaladas visualizan publicidad importuna.
Adware.ShareInstall.1.origin: Un módulo de publicidad que puede ser integrado en programas en Android. Visualiza notificaciones de publicidad en la pantalla de bloqueo del SO Android.
Adware.Airpush.7.origin: Un representante de la familia de módulos de publicidad incrustados en aplicaciones en Android que visualizan publicidad de varios tipos. Según la versión y modificación, pueden ser notificaciones de publicidad, ventanas emergentes o banners. Con estos módulos los malintencionados frecuentemente difunden malware, al ofrecer la instalación de algún software. Además, estos módulos transfieren al servidor remoto varios tipos de información privada.
Adware.MagicPush.3: Un módulo de publicidad incrustado en aplicaciones en Android. Visualiza los banners emergentes por encima de la interfaz del sistema operativo cuando estos programas no se usan. Estos banners contienen la información que engaña a usuarios. Con mayor frecuencia, en los mismos se informa sobre los archivos sospechosos supuestamente detectados, o sobre la necesidad de bloquear spam u optimizar el consumo de energía del dispositivo. Para realizarlo, al usuario se le ofrece entrar en la aplicación correspondiente que tiene incrustado un de estos módulos. Al abrir el programa, el usuario ve publicidad.
Adware.AdPush.39.origin: Un módulo de publicidad que puede ser integrado en programas en Android. Visualiza las notificaciones de publicidad que engañan a usuarios. Por ejemplo, estas notificaciones pueden parecer mensajes del sistema operativo. Además, este módulo recopilo algunos datos privados, y también puede descargar otras aplicaciones e iniciar su instalación.

Amenazas en Google Play

En julio del año 2023 el laboratorio de virus de la empresa Doctor Web detectó en el catálogo Google Play un programa troyano Android.CoinSteal.105 que sirve para robar criptomoneda. Los malintencionados intentaron presentarlo como una aplicación oficial de criptobolsa P2B, P2B official, al difundirlo con nombre similar— P2B Trade: Realize The P2Pb2b.

En la imagen siguiente a la izquierda puede consultarse una copia de pantalla del programa real, a la izquierda — la aplicación troyana.

Así mismo, la falsificación fue promovida por los criptobloggers, y, como resultado, su número de instalaciones superó dos veces el original.

Al ser iniciado, este troyano abre en WebView un sitio del sistema de distribución del tráfico establecido por los malintencionados, desde el cual se realiza una cadena de redirecciones a otros recursos. Actualmente el troyano abre el sitio web oficial de la criptobolsa, https://p2pb2b.com, оpero otros sitios web potencialmente pueden ser su objetivo — los de estafa, los que contienen publicidad etc.

Una vez abierto el sitio web de la criptobolsa, Android.CoinSteal.105 implementa en los mismos los scripts JS con los cuales suplanta las direcciones de criptomonederos introducidos por los usuarios para poder usar la criptomoneda.

Además, los ciberdelincuentes otra vez difundieron malware a través de Google Play, este malware suscribía a los titulares de dispositivos en Android a los servicios de pago. Uno de ellos fue un programa troyano Android.Harly.80 que se ocultaba en la aplicación interactiva Desktop Pets – Lulu que sirve para interactuar con una mascota virtual.

Otros se referían a la familia Android.Joker y fueron añadidos a la base de virus Dr.Web como Android.Joker.2170, Android.Joker.2171 y Android.Joker.2176. El primero estaba incrustado en el programa Cool Charging Animation para visualizar la información sobre la carga de la batería en la pantalla de bloqueo. El segundo se ocultaba en el programa Smart Counter que sirve para grabar acciones y supervisar los buenos y los malos hábitos. El tercero se difundía camuflado por una recopilación de imágenes 4K HD Wallpaper para cambiar el fondo de pantalla.

Para proteger los dispositivos en Android contra malware y programas no deseados recomendamos a los usuarios instalar los productos antivirus Dr.Web para Android.

Indicadores de compromiso

Su Android necesita protección.

Use Dr.Web

Primer antivirus ruso para Android
Más de 140 millones de descargas solo desde Google Play
Gratis para usuarios de productos de hogar Dr.Web

Descargar gratis