Se han utilizado versiones alteradas de aplicaciones leg\u00edtimas de Android asociadas con Spotify, WhatsApp y Minecraft para distribuir una nueva versi\u00f3n de un cargador de malware conocido llamado Necro.<\/p>\n
Kaspersky dicho<\/a> Algunas de las aplicaciones maliciosas tambi\u00e9n se han encontrado en Google Play Store. Se han descargado 11 millones de veces en total. Entre ellas se incluyen:<\/p>\n Al momento de escribir este art\u00edculo, Max Browser ya no est\u00e1 disponible para descargar desde Play Store. Wuta Camera, por otro lado, se ha actualizado (versi\u00f3n 6.3.7.138) para eliminar el malware. La \u00faltima versi\u00f3n de la aplicaci\u00f3n, 6.3.8.148, se lanz\u00f3 el 8 de septiembre de 2024.<\/p>\n Actualmente no est\u00e1 claro c\u00f3mo ambas aplicaciones fueron comprometidas con el malware en primer lugar, aunque se cree que un kit de desarrollo de software (SDK) fraudulento para integrar capacidades publicitarias es el culpable.<\/p>\n Necro (que no debe confundirse con una botnet del mismo nombre) fue descubierto por primera vez por la empresa rusa de ciberseguridad en 2019 cuando estaba oculto dentro de una popular aplicaci\u00f3n de escaneo de documentos llamada CamScanner.<\/p>\n CamScanner m\u00e1s tarde culpado<\/a> el problema estaba en un SDK de publicidad proporcionado por un tercero llamado AdHub que, seg\u00fan dec\u00eda, conten\u00eda un m\u00f3dulo malicioso para recuperar malware de la siguiente etapa desde un servidor remoto, actuando esencialmente como un cargador para todo tipo de malware en los dispositivos de las v\u00edctimas.<\/p>\n La nueva versi\u00f3n del malware no es diferente, aunque incorpora t\u00e9cnicas de ofuscaci\u00f3n para evadir la detecci\u00f3n, aprovechando en particular la esteganograf\u00eda para ocultar sus cargas \u00fatiles.<\/p>\n “Las cargas \u00fatiles descargadas, entre otras cosas, podr\u00edan mostrar anuncios en ventanas invisibles e interactuar con ellos, descargar y ejecutar archivos DEX arbitrarios e instalar las aplicaciones descargadas”, dijo el investigador de Kaspersky, Dmitry Kalinin.<\/p>\n Tambi\u00e9n puede “abrir enlaces arbitrarios en ventanas WebView invisibles y ejecutar cualquier c\u00f3digo JavaScript en ellas, ejecutar un t\u00fanel a trav\u00e9s del dispositivo de la v\u00edctima y potencialmente suscribirse a servicios pagos”.<\/p>\n Uno de los principales veh\u00edculos de distribuci\u00f3n de Necro son las versiones modificadas de aplicaciones y juegos populares que se encuentran alojados en sitios no oficiales y tiendas de aplicaciones. Una vez descargadas, las aplicaciones inicializan un m\u00f3dulo llamado Coral SDK, que, a su vez, env\u00eda una solicitud HTTP POST a un servidor remoto.<\/p>\n Posteriormente, el servidor responde con un enlace a un supuesto archivo de imagen PNG alojado en adoss.spinsok.[.]com, despu\u00e9s de lo cual el SDK procede a extraer la carga \u00fatil principal (un archivo Java (JAR) codificado en Base64).<\/p>\n Las funciones maliciosas de Necro se realizan a trav\u00e9s de un conjunto de m\u00f3dulos adicionales (tambi\u00e9n conocidos como complementos) que se descargan desde el servidor de comando y control (C2), lo que le permite realizar una amplia gama de acciones en el dispositivo Android infectado.<\/p>\n El descubrimiento de Happy SDK ha planteado la posibilidad de que los actores de amenazas detr\u00e1s de la campa\u00f1a tambi\u00e9n est\u00e9n experimentando con una versi\u00f3n no modular.<\/p>\n “Esto sugiere que Necro es altamente adaptable y puede descargar diferentes iteraciones de s\u00ed mismo, quiz\u00e1s para introducir nuevas caracter\u00edsticas”, dijo Kalinin.<\/p>\n Los datos de telemetr\u00eda recopilados por Kaspersky muestran que bloque\u00f3 m\u00e1s de diez mil ataques de Necro en todo el mundo entre el 26 de agosto y el 15 de septiembre de 2024, siendo Rusia, Brasil, Vietnam, Ecuador, M\u00e9xico, Taiw\u00e1n, Espa\u00f1a, Malasia, Italia y Turqu\u00eda los que representaron la mayor cantidad de ataques.<\/p>\n “Esta nueva versi\u00f3n es un cargador de m\u00faltiples etapas que utiliza esteganograf\u00eda para ocultar la carga \u00fatil de la segunda etapa, una t\u00e9cnica muy rara para el malware m\u00f3vil, as\u00ed como ofuscaci\u00f3n para evadir la detecci\u00f3n”, dijo Kalinin.<\/p>\n “La arquitectura modular ofrece a los creadores del troyano una amplia gama de opciones para la entrega masiva y dirigida de actualizaciones del cargador o nuevos m\u00f3dulos maliciosos dependiendo de la aplicaci\u00f3n infectada”.<\/p>\n <\/p>\n\n
![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/09\/Se-encuentra-malware-Necro-para-Android-en-aplicaciones-de-camara.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/div>\n\n
<\/a><\/center><\/section>\n