Borra ya estas 417 aplicaciones para Android: roban tu dinero

Google tiene un mecanismo de revisión de aplicaciones a través de Play Protect. Sin embargo, este sistema, que analiza las apps antes de publicarlas, tiene muchas lagunas y fallos, haciendo que de vez en cuando se cuele malware en la tienda. Ahora, se ha descubierto que había un malware que llevaba 2 años infectando más de 470 apps, afectando a más de 100 millones de usuarios.

Zimperium zLabs ha alertado del descubrimiento de un malware que han bautizado como Dark Herring. Este malware ha sido responsable de pérdidas de cientos de millones de euros a través de una estafa de suscripción que llevaba a cabo en los móviles infectados. La primera infección data de marzo de 2020.

Se ocultaba muy bien en el código de las apps

Gracias a esta campaña, el malware ha engañado a 105 millones de usuarios para que contraten una suscripción de 15 dólares al mes a través de la función de Direct Carrier Billing (DCB), que permite hacer pagos a través de la factura del operador. En cuanto los usuarios descubrían la infección, los atacantes sacaban todo el dinero obtenido.

El malware ha conseguido pasar desapercibido todo este tiempo gracias a contar con una serie de atributos que le permite saltarse la detección por parte de los antivirus. Entre ellos, encontramos ocultación de código, propagación a través de un gran número de apps, y el uso de proxies como primeras URL de contacto para que no hagan saltar las alarmas.

Para comunicarse con los dispositivos infectados, todas las apps que modificaban contenían una cadena cifrada que llevaba a una primera URL alojada en CloudFront de Amazon. A partir de ahí, un JavaScript alojado en AWS llevaba las solicitudes a los servidores del malware. Cada app generaba una cadena de identificadores únicos.

Con todo el mecanismo en marcha, las aplicaciones infectadas mostraban una inserción de WebView personalizada que instaba al usuario a introducir su número de teléfono para obtener un código de verificación para activar la cuenta en la app. Sin embargo, lo que hacían era suscribir al usuario a un servicio de suscripción de pago.

Este mecanismo de suscripción ha permitido a los creadores de la campaña recibir millones de euros en ingresos de manera estable, con los cuales han podido mantener la compleja infraestructura para llevar a cabo esta operación de estafa a nivel mundial a un elevado ritmo de infección.

Los países con más infecciones son India, Pakistán, Arabia Saudí, Egipto, Grecia, Finlandia, Suecia, Noruega, Bulgaria, Irak y Túnez. No obstante, también hay multitud de usuarios afectados.

Listado de las apps infectadas

Entre las aplicaciones infectadas que tenían más de 1 millón de descargas encontramos las siguientes: Smashed, Ultra Stream, Photograph Labs Pro, VideoProj Lab, Upgrade, Stream HD, Vidly Vibe, Cast It, My Translator Pro, New Mobile Games, StreamCast Pro, Drive Simulator, Speedy Cars – Final Lap, Football Legends, Football HERO 2021, Grand Mafia Auto, Offroad Jeep Simulator, Smashex Pro, Racing City, Connectool y City Bus Simulator 2.

El listado completo de las 417 apps confirmadas con la infección es el siguiente: