Un malware que roba informaci\u00f3n de Android llamado Estafa de fuego<\/strong> Se ha descubierto que se hace pasar por una versi\u00f3n premium de la aplicaci\u00f3n de mensajer\u00eda Telegram para robar datos y mantener un control remoto persistente sobre los dispositivos comprometidos.<\/p>\n “Disfrazada de una aplicaci\u00f3n ‘Telegram Premium’ falsa, se distribuye a trav\u00e9s de un sitio de phishing alojado en GitHub.io que se hace pasar por RuStore, una tienda de aplicaciones popular en la Federaci\u00f3n Rusa”, Cyfirma dicho<\/a>describi\u00e9ndola como una “amenaza sofisticada y multifac\u00e9tica”.<\/p>\n “El malware emplea un proceso de infecci\u00f3n de varias etapas, que comienza con un APK cuentagotas y realiza extensas actividades de vigilancia una vez instalado”.<\/p>\n El sitio de phishing en cuesti\u00f3n, rustore-apk.github[.]io, imita a RuStore, una tienda de aplicaciones lanzada por el gigante tecnol\u00f3gico ruso VK en el pa\u00eds, y est\u00e1 dise\u00f1ada para entregar un archivo APK con cuentagotas (“GetAppsRu.apk”).<\/p>\n Una vez instalado, el cuentagotas act\u00faa como un veh\u00edculo de entrega para la carga \u00fatil principal, que es responsable de filtrar datos confidenciales, incluidas notificaciones, mensajes y otros datos de aplicaciones, a un punto final de Firebase Realtime Database.<\/p>\n La aplicaci\u00f3n cuentagotas solicita varios permisos, incluida la capacidad de escribir en un almacenamiento externo e instalar, actualizar o eliminar aplicaciones arbitrarias en dispositivos Android infectados que ejecutan Android 8 y versiones posteriores.<\/p>\n “El permiso ENFORCE_UPDATE_OWNERSHIP restringe las actualizaciones de la aplicaci\u00f3n al propietario designado de la aplicaci\u00f3n. El instalador inicial de una aplicaci\u00f3n puede declararse el ‘propietario de la actualizaci\u00f3n’, controlando as\u00ed las actualizaciones de la aplicaci\u00f3n”, se\u00f1al\u00f3 Cyfirma.<\/p>\n “Este mecanismo garantiza que los intentos de actualizaci\u00f3n por parte de otros instaladores requieran la aprobaci\u00f3n del usuario antes de continuar. Al designarse como propietario de la actualizaci\u00f3n, una aplicaci\u00f3n maliciosa puede impedir actualizaciones leg\u00edtimas de otras fuentes, manteniendo as\u00ed su persistencia en el dispositivo”.<\/p>\n FireScam emplea varias t\u00e9cnicas de ofuscaci\u00f3n y antian\u00e1lisis para evadir la detecci\u00f3n. Tambi\u00e9n controla las notificaciones entrantes, los cambios de estado de la pantalla, las transacciones de comercio electr\u00f3nico, el contenido del portapapeles y la actividad del usuario para recopilar informaci\u00f3n de inter\u00e9s. Otra funci\u00f3n notable es su capacidad para descargar y procesar datos de im\u00e1genes desde una URL espec\u00edfica.<\/p>\n La aplicaci\u00f3n fraudulenta Telegram Premium, cuando se inicia, solicita adem\u00e1s el permiso de los usuarios para acceder a listas de contactos, registros de llamadas y mensajes SMS, despu\u00e9s de lo cual se muestra una p\u00e1gina de inicio de sesi\u00f3n para el sitio web leg\u00edtimo de Telegram a trav\u00e9s de WebView para robar las credenciales. El proceso de recopilaci\u00f3n de datos se inicia independientemente de si la v\u00edctima inicia sesi\u00f3n o no.<\/p>\n Por \u00faltimo, registra un servicio para recibir notificaciones de Firebase Cloud Messaging (FCM), lo que le permite recibir comandos remotos y mantener un acceso encubierto, una se\u00f1al de las amplias capacidades de monitoreo del malware. El malware tambi\u00e9n establece simult\u00e1neamente una conexi\u00f3n WebSocket con su servidor de comando y control (C2) para la filtraci\u00f3n de datos y actividades de seguimiento.<\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2025\/01\/El-malware-FireScam-para-Android-se-hace-pasar-por-Telegram.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n