El malware SpinOK se descargó más de 400 millones de veces, en más de 100 aplicaciones comprometidas

Los investigadores de seguridad hicieron un hallazgo importante con respecto a un componente de software de Android que posee capacidades de spyware. Su función principal es recopilar información sobre archivos almacenados en dispositivos y facilitar su transmisión a personas malintencionadas. Además, posee la capacidad de reemplazar y cargar el contenido del portapapeles en un servidor remoto. Marcado como Android.Spy.SpinOk, este componente se distribuye como un kit de desarrollo de software (SDK) de marketing, que los desarrolladores pueden integrar en varias aplicaciones y juegos, incluidos los que se encuentran en Google Play.

A primera vista, el módulo SpinOk está diseñado para mantener la participación de los usuarios en las aplicaciones mediante la incorporación de minijuegos, sistemas de tareas y supuestos premios y recompensas. Cuando se inicia, este troyano SDK establece una conexión con un servidor de comando y control (C&C) mediante la transmisión de una solicitud que contiene una amplia gama de detalles técnicos sobre el dispositivo infectado.

Esto incluye datos de sensores como el giroscopio y el magnetómetro, que se pueden emplear para detectar entornos de emulación y adaptar los procedimientos operativos del módulo para evitar que los investigadores de seguridad los detecten. Además, omite la configuración del proxy del dispositivo para ocultar las conexiones de red durante el análisis. En respuesta, el módulo recibe una lista de URL del servidor, que posteriormente abre en WebView para exhibir banners publicitarios.

Capacidades de SpinOK

El troyano SDK amplía las capacidades del código JavaScript ejecutado en páginas web cargadas con anuncios. Introduce varias funcionalidades a este código, como la capacidad de:

• Adquirir una lista de archivos dentro de directorios especificados.
• Valide la presencia de archivos o directorios específicos en el dispositivo.
• Recuperar un archivo del dispositivo.
• Copie o sustituya el contenido del portapapeles.

En consecuencia, los operadores de este módulo troyano pueden acceder a información y archivos confidenciales desde el dispositivo de un usuario, en particular los archivos a los que pueden acceder las aplicaciones que contienen Android.Spy.SpinOk. Para lograr esto, los atacantes tendrían que insertar el código correspondiente en la página HTML del banner publicitario.

Los investigadores de seguridad descubrieron este módulo troyano e identificaron múltiples variaciones dentro de varias aplicaciones distribuidas a través de Google Play. Si bien algunas de estas aplicaciones continúan albergando el SDK malicioso, otras solo lo tenían en versiones específicas o se han eliminado por completo del catálogo. Nuestros analistas de malware detectaron su presencia en 101 aplicaciones con un total combinado de al menos 421 290 300 descargas. En consecuencia, cientos de millones de propietarios de dispositivos Android están expuestos al riesgo de ser víctimas del espionaje cibernético. Doctor Web notificó de inmediato a Google sobre esta amenaza descubierta.