Los usuarios de Android en más de 20 países han sido infectados con un programa malicioso particularmente agresivo que bombardea los dispositivos con anuncios no deseados.
Los investigadores de FireEye descubrieron que el componente malicioso, apodado Kemoge, se sembró dentro de lo que parecen ser aplicaciones legítimas ofrecidas en tiendas de aplicaciones de terceros.
«Esta es otra familia de adware malicioso, posiblemente escrita por desarrolladores chinos o controlada por piratas informáticos chinos, que se propaga a escala global y representa una amenaza significativa», escribió Yulong Zhang, científico investigador de FireEye.
Quien creó Kemoge volvió a empaquetar aplicaciones legítimas con el malware y luego las promovió en sitios web y mediante anuncios dentro de las aplicaciones para persuadir a las personas a descargarlas.
0 segundos de 10 minutos, 24 segundosVolumen 0%Presione el signo de interrogación Mayús para acceder a una lista de atajos de tecladoAtajos de tecladoAtajos de teclado Abrir/Cerrar/ o ?Reproducir/PausarESPACIOAumentar volumen ↑Disminuir volumen↓Buscar hacia adelante→Buscar hacia atrás←Subtítulos activados/desactivadoscPantalla completa/Salir de pantalla completafSilenciar/ UnmutemDisminuir tamaño de título-Aumentar tamaño de título+ o =Buscar %0-9 Live00:0010:2410:24
Zhang enumeró algunas de las aplicaciones afectadas: Sex Cademy, Assistive Touch, Calculator, Kiss Browser, Smart Touch, Shareit, Privacy Lock, Easy Locker, 2048kg, Talking Tom 3, WiFi Enhancer y Light Browser.
Las tiendas de aplicaciones de terceros se consideran lugares riesgosos para descargar aplicaciones de Android, ya que los piratas informáticos suelen cargar en ellas aplicaciones maliciosas. Google realiza un control de seguridad en las aplicaciones de su Play Store, aunque ocasionalmente se cuelan algunas dañinas.
Kemoge no solo muestra anuncios no deseados, sino que también está cargado con ocho exploits de raíz dirigidos a una amplia gama de dispositivos Android, escribió Zhang. Un ataque exitoso utilizando esos exploits significa que un atacante tendría control total sobre el dispositivo.
ojo de fuego
Kemoge recopilará los números IMEI (Identidad de equipo de estación móvil internacional) e IMSI (Identidad de abonado móvil internacional) de un dispositivo, información sobre el almacenamiento y las aplicaciones, y enviará la información a un servidor remoto.
Ese servidor de comando y control todavía estaba funcionando, escribió Zhang. Un análisis del tráfico intercambiado entre un dispositivo infectado y el servidor mostró que Kemoge también intenta desinstalar aplicaciones antivirus.
Curiosamente, FireEye encontró una aplicación llamada Shareit en la tienda Play de Google que estaba firmada con el mismo certificado digital que el malicioso encontrado en la fuente de terceros.
La versión Google Play de ShareIt no tenía los ocho exploits de raíz ni contactaba con el servidor de comando y control, pero sí tenía algunas de las mismas bibliotecas de códigos Kemoge. Ahora parece haber desaparecido de Google Play.
«Hemos notificado a Google sobre esta amenaza», escribió Zhang.
Noticias