Los tel\u00e9fonos inteligentes de Android baratos fabricados por compa\u00f1\u00edas chinas se han observado preinstalados con aplicaciones troyanizadas disfrazadas de WhatsApp y Telegram que contienen la funcionalidad de la cortes\u00eda de criptomonedas como parte de una campa\u00f1a desde junio de 2024.<\/p>\n
Si bien el uso de aplicaciones con malware para robar informaci\u00f3n financiera no es un fen\u00f3meno nuevo, los nuevos hallazgos del proveedor de antivirus ruso, el m\u00e9dico, el m\u00e9dico web apunta a una escalada significativa donde los actores de amenaza dirigidos directamente a la cadena de suministro de varios fabricantes chinos a precargar los nuevos dispositivos con aplicaciones maliciosas.<\/p>\n
“Las aplicaciones fraudulentas se detectaron directamente en el software preinstalado en el tel\u00e9fono”, la compa\u00f1\u00eda dicho<\/a>. “En este caso, el c\u00f3digo malicioso se agreg\u00f3 al Mensajero de WhatsApp”.<\/p>\n Se dice que la mayor\u00eda de los dispositivos comprometidos son tel\u00e9fonos de baja gama que imitan modelos premium conocidos de Samsung y Huawei con nombres como S23 Ultra, S24 Ultra, Note 13 Pro y P70 Ultra. Al menos cuatro de los modelos afectados se fabrican bajo el Showji <\/b>marca.<\/p>\n Se dice que los atacantes han utilizado una aplicaci\u00f3n para falsificar la especificaci\u00f3n t\u00e9cnica que se muestra en la p\u00e1gina del dispositivo Acerca de, as\u00ed como las utilidades de informaci\u00f3n de hardware y software como AIDA64 y CPU-Z, lo que le da a los usuarios una falsa impresi\u00f3n de que los tel\u00e9fonos est\u00e1n ejecutando Android 14 y han mejorado hardware.<\/p>\n Las aplicaciones de Android maliciosas se crean utilizando un proyecto de c\u00f3digo abierto llamado Lspatch<\/a> Eso permite que el troyano, denominado Shibai, se inyecte en un software leg\u00edtimo. En total, se estima que alrededor de 40 aplicaciones diferentes, como los mensajeros y los esc\u00e1neres de c\u00f3digo QR, se han modificado de esta manera.<\/p>\n En los artefactos analizados por Doctor Web, la aplicaci\u00f3n secuestra el proceso de actualizaci\u00f3n de la aplicaci\u00f3n para recuperar un archivo APK de un servidor bajo el control del atacante y busca cadenas en conversaciones de chat que coincidan con los patrones de direcci\u00f3n de la billetera de criptomonedas asociados con Ethereum o Tron. Si se encuentran, se reemplazan con las direcciones del adversario para redirigir las transacciones.<\/p>\n “En el caso de un mensaje saliente, el dispositivo comprometido muestra la direcci\u00f3n correcta de la billetera de la v\u00edctima, mientras que el destinatario del mensaje se muestra en la direcci\u00f3n de la billetera de los estafadores”, dijo Doctor Web.<\/p>\n “Y cuando se recibe un mensaje entrante, el remitente ve la direcci\u00f3n de su propia billetera; mientras tanto, en el dispositivo de la v\u00edctima, la direcci\u00f3n entrante se reemplaza con la direcci\u00f3n de la billetera de los piratas inform\u00e1ticos”.<\/p>\n Adem\u00e1s de cambiar las direcciones de la billetera, el malware tambi\u00e9n est\u00e1 equipado con capacidades para recolectar informaci\u00f3n del dispositivo, todos los mensajes de WhatsApp y .jpg, .png y .jpeg im\u00e1genes de DCIM, im\u00e1genes, alarmas, descargas, documentos y carpetas de captura de captura del servidor del atacante.<\/p>\n La intenci\u00f3n detr\u00e1s de este paso es escanear las im\u00e1genes almacenadas para frases de recuperaci\u00f3n de billeteras (tambi\u00e9n conocidas como mnemonic), lo que permite a los actores de amenaza obtener acceso no autorizado a las billeteras de las v\u00edctimas y drenar los activos.<\/p>\n No est\u00e1 claro qui\u00e9n est\u00e1 detr\u00e1s de la campa\u00f1a, aunque se ha descubierto que los atacantes aprovechan unos 30 dominios para distribuir las aplicaciones maliciosas y emplear m\u00e1s de 60 servidores de comando y control (C2) para administrar la operaci\u00f3n.<\/p>\n Un an\u00e1lisis posterior de las casi dos docenas de billeteras de criptomonedas utilizadas por los actores de amenaza ha revelado que han recibido m\u00e1s de $ 1.6 millones en los \u00faltimos dos a\u00f1os, lo que indica que el compromiso de la cadena de suministro ha valido la pena a lo grande.<\/p>\n El desarrollo se produce cuando la compa\u00f1\u00eda de seguridad cibern\u00e9tica suiza Productaft descubri\u00f3 una nueva familia de malware Android denominada gorila que est\u00e1 dise\u00f1ada para recopilar informaci\u00f3n confidencial (p. Ej., Modelo de dispositivos, n\u00fameros de tel\u00e9fono, versi\u00f3n de Android, detalles de tarjeta SIM y aplicaciones instaladas), acceso persistente principal a dispositivos infectados y recibir comandos de un servidor remoto.<\/p>\n “Escrito en Kotlin, se centra principalmente en la intercepci\u00f3n de SMS y la comunicaci\u00f3n persistente con su servidor de comando y control (C2)”, la compa\u00f1\u00eda dicho<\/a> en un an\u00e1lisis. “A diferencia de muchas cepas avanzadas de malware, Gorilla a\u00fan no emplea t\u00e9cnicas de ofuscaci\u00f3n, lo que indica que a\u00fan puede estar bajo desarrollo activo”.<\/p>\n En los \u00faltimos meses, Android Apps incrusta el FakeApp troyano<\/a> propagado a trav\u00e9s de Google Play Store tambi\u00e9n ha sido encontr\u00f3<\/a> Hacer uso de un servidor DNS para recuperar una configuraci\u00f3n que contiene una URL para cargar.<\/p>\n Estas aplicaciones, desde que se eliminan del mercado, se hacen pasar por juegos y aplicaciones conocidos y populares y vienen equipadas con la capacidad de recibir comandos externos que pueden realizar varias acciones maliciosas como cargar sitios web no deseados o servir ventanas de phishing.<\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2025\/04\/Telefonos-de-Android-chinos-enviados-con-WhatsApp-falsos-aplicaciones-de.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n<\/a><\/div>\n