Los expertos de Kaspersky encontraron un código malicioso en la versión 3.17.18 de la tienda oficial de aplicaciones APKPure. Hasta la fecha, los productos Kaspersky de 9 mil 380 usuarios han detectado y bloqueado la amenaza.
Según los investigadores, el código se encontraba en la biblioteca de anuncios de la aplicación. Es probable que el código apareciera allí debido a la asociación de los desarrolladores de la aplicación con algún anunciante poco cuidadoso. Algo similar ocurrió con el incidente de CamScanner, cuando se implementó un SDK publicitario de una fuente no verificada.
El código malicioso identificado incrustado en APKPure funciona de la siguiente manera: al lanzar la aplicación, la carga útil se descifra y se lanza. A continuación, se recopila información sobre el dispositivo del usuario y se envía al servidor de C&C. Posteriormente, se carga un troyano que tiene mucho en común con el conocido malware Triada, en el sentido de que puede realizar una serie de acciones: desde mostrar y hacer clic en anuncios hasta registrarse a suscripciones de pago y descargar otro malware.
Después, dependiendo de la respuesta recibida, el malware puede:
- Mostrar anuncios cuando se desbloquea el dispositivo
- Abrir páginas del navegador con anuncios de forma repetida
- Cargar módulos adicionales y ejecutables
«Dependiendo de la versión del sistema operativo, este troyano puede infligir distintos daños a la víctima. Los usuarios de APKPure con las versiones actuales de Android corren el riesgo, sobre todo, de que les aparezcan suscripciones de pago y anuncios intrusivos de la nada. Los usuarios de smartphones que no reciben actualizaciones de seguridad son menos afortunados: en las versiones no actualizadas del sistema operativo, el malware es capaz no sólo de cargar aplicaciones adicionales, sino de instalarlas en la partición del sistema. Esto puede dar lugar a que un troyano inamovible, como xHelper, se introduzca en el dispositivo. Afortunadamente, hemos podido informar al mercado sobre el problema, lo que ha dado lugar a una corrección de la versión. Instamos a todos los usuarios de APKPure a actualizar inmediatamente la aplicación a la versión 3.17.19«, comenta Igor Golovin, experto en seguridad de Kaspersky.
Las soluciones de Kaspersky detectan el implante malicioso como HEUR:Trojan-Dropper.AndroidOS.Triada.ap.
Kaspersky informó del problema al marketplace el 8 de abril. Al día siguiente, éste respondió a Kaspersky diciendo que el problema se solucionaría en la nueva versión. La corrección se hizo en la versión 3.17.19, que ya está disponible para su descarga.
Para estar seguros, se recomienda a los usuarios de APKPure:
- Actualizar inmediatamente la aplicación a la versión 3.17.19
- Analizar el sistema en busca de otros troyanos utilizando una solución de seguridad fiable, como Kaspersky Internet Security para Android.
