Miles de aplicaciones de adware de Android se esconden en paquetes falsos agrietados

Se descubrió una campaña de adware a gran escala dirigida a dispositivos Android, que involucra miles de aplicaciones disfrazadas como versiones pirateadas o modificadas de aplicaciones populares. La campaña, en curso desde octubre de 2022, tiene como objetivo generar ingresos bombardeando a los usuarios con anuncios no deseados. Sin embargo, los actores de amenazas detrás de él tienen la capacidad de cambiar de táctica y distribuir otros tipos de malware, como troyanos bancarios o ransomware para robar información confidencial.

Según un informe técnico de la empresa de ciberseguridad Bitdefender, se han identificado aproximadamente 60 000 aplicaciones únicas que contienen el adware. La mayoría de las detecciones se han encontrado en países como Estados Unidos, Corea del Sur, Brasil, Alemania, Reino Unido, Francia, Kazajstán, Rumania e Italia.

Distribución y aplicaciones falsificadas

En particular, ninguna de estas aplicaciones maliciosas se distribuye a través de la tienda oficial de Google Play. En cambio, los usuarios que buscan aplicaciones populares como Netflix, visores de PDF, software de seguridad o versiones descifradas de YouTube en los motores de búsqueda son redirigidos a páginas de anuncios que alojan el malware.

Una vez instaladas, estas aplicaciones toman medidas para evitar la detección, ya que no tienen iconos ni nombres visibles. Además, cuando los usuarios inician la aplicación por primera vez, se les muestra un mensaje que les indica que la aplicación no está disponible en su región y les pide que la desinstalen, mientras que la actividad maliciosa permanece activa en segundo plano.

Modo de funcionamiento de las aplicaciones falsas

Un aspecto notable de esta campaña es el modus operandi del adware. Inicialmente, el adware permanece inactivo durante unos días y luego se activa cuando la víctima desbloquea su teléfono, mostrando anuncios en pantalla completa usando Android WebView.

En un descubrimiento separado, la empresa de seguridad cibernética CloudSEK encontró el SDK SpinOK falso, previamente revelado por Doctor Web, incrustado en 193 aplicaciones en Google Play Store, con un total de 30 millones de descargas. Este módulo se presenta como una forma de involucrar a los usuarios con minijuegos y tareas para ganar recompensas, pero en realidad contiene funciones maliciosas para robar archivos y manipular el contenido del portapapeles.

Además, el equipo de investigación de amenazas de SonicWall Capture Labs descubrió otra variedad de malware de Android que se hace pasar por aplicaciones legítimas y explota los servicios de accesibilidad del sistema operativo para recopilar una amplia gama de información de los dispositivos comprometidos. Este tipo de ataque puede dar lugar a diversas actividades fraudulentas, incluido el fraude financiero y el robo de identidad.