Ataca móviles Android: Loapi, un troyano con demasiada capacidad de destrucción y autoprotección

Dentro de la gran variedad de programas maliciosos de Android, incluidos troyanos bancarios, criptográficos, etc., Loapi se distingue por contar con una arquitectura modular compleja, que le permite realizar acciones casi ilimitadas en un dispositivo comprometido, desde la minería de criptomonedas hasta ataques DDoS.

También puedes leer... La nueva Mafia El riesgo de los altavoces inteligentes Los cinco grandes mitos de las Brechas de Seguridad Consideraciones para la creación de un SOC Cómo utilizar la Dark Web para la inteligenciad de amenazas

Según explica el especialista en seguridad, el troyano Loapi se está difundiendo a través de campañas publicitarias bajo la apariencia de soluciones antivirus o de aplicaciones para adultos y, una vez instaladas, las apps solicitan derechos de administrador del dispositivo y luego, discretamente, inician la comunicación con los servidores de comando y control para instalar módulos adicionales.

La arquitectura de Loapi incluye un módulo de Adware (para visualizar publicidad en el dispositivo del usuario); un módulo SMS (para realizar diversas operaciones mediante mensajes de texto); un módulo de rastreador web (para suscribir a los usuarios a servicios de pago sin que ellos lo sepan. El módulo SMS oculta los mensajes que recibe el usuario y responde según sea necesario, eliminando luego cualquier “evidencia” que pueda existir); un módulo proxy (permite que los ciberdelincuentes hagan peticiones HTTP en nombre del dispositivo. Este tipo de acciones se pueden utilizar para ataques DDoS) y un módulo minero de divisas (para minar la moneda criptográfica Monero).

Capacidad de autoprotección

Además del importante número de herramientas de las que dispone, Loapi es capaz de auto-protegerse. Cuando el usuario intenta revocar los derechos de administrador del dispositivo, el malware bloquea la pantalla del dispositivo y cierra la ventana. Además de esta técnica estándar de autoprotección, Loapi puede recibir, desde los servidores de comando, una lista de las aplicaciones peligrosas y que, en general, son todas aquellas soluciones de seguridad que intentan eliminar el malware. Si una aplicación instalada en el dispositivo o en ejecución está en la lista, el troyano muestra al usuario un mensaje falso diciéndole que se ha encontrado un software malicioso y le ofrece la posibilidad de eliminar la aplicación. El mensaje se muestra en un bucle de forma que, si el usuario se niega a eliminar la aplicación, aparece una y otra vez hasta que el usuario, finalmente, cede y acepta.

Capacidad de destrucción

Además de la autodefensa, la investigación de Kaspersky Lab ha encontrado otro elemento interesante: las pruebas realizadas en un teléfono móvil escogido al azar demostraron que el malware crea una carga de trabajo tan alta que hace que la batería alcance elevadas temperaturas que pueden llegar incluso a deformarla. “No parece que los ciberdelincuentes tuvieran este objetivo, ya que su interés principal es que el software esté en funcionamiento para permitirles hacerse con la mayor cantidad de dinero posible. Pero su falta de atención a la optimización del malware ha llevado a que se produzca este inesperado vector de ataque” físico y, posiblemente, a producir daños importantes en los dispositivos”, explica.

Según Kaspersky Lab, Loapi puede que tenga alguna relación con Trojan.AndroidOS.Podec. Ambos troyanos recopilan el mismo tipo de información para el servidor de comando y control. Y ambos tienen también métodos de ofuscación similares.

Sus analistas recomiendan a los usuarios que sigan las siguientes medidas de precaución para proteger sus dispositivos y datos personales ante un possible ciberataque:

- Deshabilitar la posibilidad de instalar aplicaciones cuyo origen no sea las tiendas de aplicaciones oficiales.
- Mantener actualizada la versión del sistema operativo del dispositivo, disminuyendo las posibles vulnerabilidades en el software y reduciendo así el riesgo de ser víctimas de ataques.
- Instalar una solución de seguridad probada para proteger el dispositivo ante ciberataques.