Los usuarios suelen
pensar que instalar aplicaciones desde Google Play es algo seguro. Después de
todo, es la tienda oficial de todas las que existen para Android, sin embargo,
en esta plataforma se pueden encontrar más de tres millones de aplicaciones
únicas, la mayoría de las cuales se actualizan regularmente, y examinarlas
todas a fondo es algo que excede los recursos de hasta una de las empresas más
grandes del mundo.
Los creadores de aplicaciones
maliciosas son conscientes de esto, y por eso han desarrollado una serie de
técnicas para infiltrar sus creaciones en Google Play. Los expertos de
Kaspersky analizaron los casos más sonados de 2023 de aplicaciones maliciosas
que han sido comercializadas en la tienda oficial de Android, con un total de
descargas que superan los 600 millones.
50,000 descargas: App
infectada iRecorder que espía a usuarios
iRecorder, una
intuitiva aplicación para grabar la pantalla para teléfonos Android, se subió a
Google Play en septiembre de 2021. Posteriormente, en agosto de 2022, sus
desarrolladores añadieron una funcionalidad maliciosa: el código del troyano de
acceso remoto AhMyth, que provocaba que los teléfonos de todos los usuarios que
habían instalado la aplicación grabaran sonido desde el micrófono cada 15
minutos y lo enviaran al servidor de los creadores de la app. Para cuando los
investigadores descubrieron el malware en mayo de 2023, la aplicación iRecorder
se había descargado más de 50,000 veces.
Este ejemplo demuestra
una de las formas en que las aplicaciones maliciosas logran llegar a Google
Play. Primero, los ciberdelincuentes publican una aplicación inofensiva en la
tienda para asegurarse que pasará todos los controles de moderación.
Posteriormente, cuando ha alcanzado una base de usuarios y cierta reputación,
se modifica con una funcionalidad maliciosa que se introduce a través de una
actualización.
620,000 descargas:
troyano de suscripción Fleckpe
También en mayo de
2023, nuestros expertos encontraron varias aplicaciones en Google Play
infectadas con el troyano de suscripción Fleckpe. Para ese momento, ya habían
conseguido 620,000 instalaciones. Curiosamente, estas aplicaciones fueron
subidas por desarrolladores diferentes. Y esta es otra táctica común: los
ciberdelincuentes crean numerosas cuentas de desarrollador en la tienda para
que, incluso si los moderadores les bloquean alguna, simplemente puedan subir
una aplicación similar a otra de sus cuentas.
Cuando la aplicación
infectada se ejecutaba, la carga útil maliciosa principal se descargaba en el
teléfono de la víctima, tras lo cual el troyano se conectaba al servidor de
mando y control y transfería la información del país y del operador de telefonía.
Gracias a esta información, el servidor proporcionaba instrucciones sobre cómo
proceder. A continuación, Fleckpe abría páginas web con suscripciones de pago
en una ventana del navegador invisible para el usuario y, interceptando los
códigos de confirmación de las notificaciones entrantes, suscribía al usuario a
servicios innecesarios que abonaba a través del contrato del operador de
telefonía móvil.
1,5 millones de
descargas: spyware chino
En julio de 2023, se
descubrió que Google Play alojaba dos apps maliciosas para la administración de
archivos: una con un millón de descargas y la otra con medio millón. A pesar de
las garantías de los desarrolladores de que las aplicaciones no recopilaban
ningún dato, los investigadores descubrieron que las dos transmitían mucha
información del usuario a servidores en China, incluidos datos como los
contactos, la geolocalización en tiempo real, información sobre el modelo de
teléfono y la red de telefonía, fotos, audio, archivos de vídeo y más. Para
evitar que el usuario las desinstale, las aplicaciones infectadas ocultaban sus
iconos de escritorio, lo cual es otra táctica común empleada por los creadores
de malware móvil.
2,5 millones de
descargas: adware en segundo plano
En un caso reciente de
detección de malware en Google Play en agosto de 2023, los investigadores
encontraron hasta 43 aplicaciones ―incluidas, entre otras, TV/DMB Player, Music
Downloader, News y Calendar― que cargaban anuncios en secreto cuando la
pantalla del teléfono del usuario estaba apagada. Para poder desarrollar su
actividad en segundo plano, las aplicaciones solicitaban al usuario que las
añadiera a la lista de exclusiones del ahorro de energía. Naturalmente, los
usuarios afectados sufrían una reducción de la vida útil de la batería. Estas
aplicaciones tuvieron un total combinado de 2,5 millones de descargas, y su
público objetivo fue principalmente coreano.
20 millones de
descargas: apps fraudulentas que prometen recompensas
Un estudio publicado a
principios de 2023 reveló varias aplicaciones sospechosas en Google Play con
más de 20 millones de descargas entre ellas. Estas aplicaciones se anunciaban
principalmente como rastreadores de salud y prometían a los usuarios
recompensas en efectivo por caminar y otras actividades, así como por ver anuncios
o instalar otras aplicaciones. Más concretamente, el usuario recibía puntos por
realizar estas acciones, que supuestamente podían convertirse después en dinero
real. El único problema era que para obtener una recompensa era necesario
acumular una cantidad tan grande de puntos que en la realidad era imposible
lograrlo.
35 millones de
descargas: clones de Minecraft con adware en su interior
Google Play también ha
alojado juegos maliciosos este año, la mayoría disfrazados como Minecraft, que
sigue siendo uno de los títulos más populares del mundo. En abril de 2023 se
detectaron 38 clones de Minecraft en la tienda oficial de Android, con un total
de 35 millones de descargas. Estas aplicaciones ocultaban en su interior un
adware con un nombre muy pertinente: HiddenAds.
Cuando se abrían las
aplicaciones infectadas, “mostraban” anuncios ocultos sin el conocimiento del
usuario. Esto no representaba una amenaza grave en sí, pero ese funcionamiento
podría haber afectado al rendimiento del dispositivo y a la duración de la
batería. Y las aplicaciones infectadas siempre podían pasar más adelante a
emplear un esquema de monetización mucho menos inofensivo. Esta es otra táctica
estándar de los creadores de aplicaciones de malware de Android: cambian
fácilmente entre distintos tipos de actividad maliciosa según la rentabilidad
que obtienen en cada momento.
100 millones de
descargas: recopilación de datos y fraude del clic
También en abril de
2023, se encontraron otras 60 aplicaciones en Google Play infectadas con un
adware que los investigadores denominaron Goldoson. En conjunto, estas
aplicaciones tuvieron más de 100 millones de descargas en esta tienda oficial.
Este malware también “mostraba” anuncios ocultos al abrir páginas web dentro de
la aplicación en segundo plano. Además, las aplicaciones maliciosas recopilaban
datos del usuario, como información sobre las apps instaladas, la
geolocalización, las direcciones de los dispositivos conectados al teléfono a
través de Wi-Fi y Bluetooth, y más. Al parecer, Goldoson se había infiltrado en
todas esas aplicaciones junto con una biblioteca infectada empleada por muchos
desarrolladores legítimos que simplemente no sabían que contenía esta funcionalidad
maliciosa.
451 millones de
descargas: anuncios de minijuegos y recolección de datos
Terminamos con el caso
más grande del año: en mayo de 2023, un equipo de investigadores encontró 101 aplicaciones no elegibles en Google Play,
con un total de descargas combinadas de 421 millones. Al acecho dentro de todas
y cada una de ellas estaba una biblioteca con el código SpinOk.
Poco después de eso,
otro equipo de investigadores descubrió 92 aplicaciones más en Google Play que
tenían la misma biblioteca con SpinOk, pero con un número un poco más modesto
de descargas: 30 millones. En total, se encontraron casi 200 aplicaciones que
contienen el código SpinOK, con un total de 451 millones de descargas desde
Google Play entre todas. Este es otro caso en el que se entregó código
peligroso a aplicaciones desde una biblioteca de terceros. Aparentemente, la
tarea de las aplicaciones era mostrar minijuegos intrusivos que prometían
recompensas en efectivo. Pero además, la biblioteca SpinOK era capaz de
recopilar y enviar datos y archivos del usuario al servidor de mando y control
de sus desarrolladores en segundo plano.
Ante este escenario, la
conclusión es clara: el malware en Google Play es mucho más común de lo que se
puede pensar: las aplicaciones infectadas tienen un total de descargas
combinadas de más de 500 millones.
Por ello, los expertos
de Kaspersky recomiendan:
Pese a todo, las
tiendas oficiales siguen siendo las únicas fuentes seguras para descargar apps;
hacerlo en otro lugar es mucho más peligroso, por lo que recomendamos que no lo
hagas.
Cada vez que descargues
una aplicación nueva, revisa atentamente la página en la tienda para asegurarte
de que sea una aplicación genuina. Presta especial atención al nombre del
desarrollador. Con frecuencia, los ciberdelincuentes clonan aplicaciones
populares y las publican en Google Play con nombres, iconos y descripciones
similares para atraer a los usuarios.
No te dejes guiar por
la calificación general de la aplicación, ya que es fácil alterarla. También
resulta sencillo falsificar las críticas favorables. Es mejor que te centres en
las críticas negativas con calificaciones bajas; ahí es donde generalmente
podrás encontrar una descripción de todos los problemas relacionados con la
aplicación.
Asegúrate de instalar
una protección fiable en todos tus dispositivos Android, de manera que recibas
una alerta si un troyano intenta colarse en tu teléfono o tablet. En el
mercado, existen soluciones que permiten a los usuarios realizar un análisis
manual al instalar apps nuevas. En el portafolio de soluciones para el
consumidor de Kaspersky, conformado por Kaspersky Standard, Kaspersky Plus o
Kaspersky Premium, el análisis se realiza automáticamente, lo que te mantiene a
salvo de las aplicaciones infectadas.
