En enero de este mismo año analistas de malware deDoctor Web rastrearon la propagación de un nuevo troyano en Android conocido como Android.Spy.4498. Los responsables de este troyano lo han incluido en algunas versiones de modificaciones no oficiales (mods) de WhatsApp, para luego distribuirlos a través de sitios web maliciosos.
De qué es capaz Android.Spy.4498
Se trata de una aplicación troyano para dispositivos Android. Su funcionalidad principal es robar el contenido de las notificaciones de otras apps. Según los analistas, “también descarga y pide a los usuarios que instalen otras aplicaciones y puede mostrar varios cuadros de diálogo”.
Se ha detectado en alguna de las aplicaciones no oficiales (mods) de WhatsApp, por lo que si tienes alguna de las siguientes instaladas en tu móvil Android será mejor que las borres cuanto antes.
- GBWhatsApp
- OBWhatsApp
- WhatsApp Plus
Este troyano también es capaz de descargar apps y ofrecer a los usuarios que las instalen con el fin de mostrar cuadros de diálogo con el contenido que recibe de los atacantes. Durante el ataque, Android.Spy.4498 solicita acceso para gestionar notificaciones y leer su contenido. Concretamente esta versión está dirigida a notificaciones en las siguientes aplicaciones: com.sec.android.app.samsungapps (en Samsung Galaxy Store) y com.android.vending (en Google Play Store).
Por si fuera poco, también es capaz de “registrar de forma remota el contenido de las notificaciones de las aplicaciones que están en una lista establecida”. Lo hace a través de varios servicios de estadísticas como Flurry. “Cuando se utiliza la aplicación host, el troyano descarga de forma encubierta un archivo apk, utilizando una URL recibida de actores malintencionados”. A continuación, pide a la víctima que la instale como de si una nueva versión de la app se tratase para la cual no muestra el cuadro de diálogo habitual.
Por último, otras de sus funcionalidades es mostrar cuadros de diálogo aleatorios. Cuando el usuario hace clic en el botón «aceptar» es cuando se carga un sitio web específico en el navegador. Tal y como han detectado los investigadores de Doctor web, “las solicitudes para acceder a las notificaciones, la funcionalidad para mostrar cuadros de diálogo con contenidos personalizados, así como la rutina de descarga de archivos apk, se ejecutan desde la actividad com.whatsapp.HomeActivity modificada de la aplicación WhatsApp original”. Lo más recomendable en estos casos es que borres de inmediato las apps citadas y descargues alguna app de antivirus para asegurarte que tu smartphone Android no ha sido atacado por esta amenaza.
Fuente: adslzone
