Despreciados suscriptores

Muchas personas se han encontrado con ofertas de suscripciones a proveedores de contenido móvil. Aparecen como de la nada, y solo se los detecta cuando ya no quedan fondos en la cuenta. Podría parecer que para estar protegidos bastaría con no visitar sitios cuestionables ni instalar aplicaciones de terceros, pero por desgracia, hoy en día esto no es suficiente. Hace poco descubrimos varias aplicaciones en Play Market que están directamente relacionadas con estos servicios prestados sin el consentimiento del usuario.

Pink Camera (com.paint.oil) y Pink Camera 2 (com.psbo.forand) se diferencian solo por el número en el nombre. Cada una tiene más de 10 mil instalaciones.

A primera vista, son editores de fotos normales, pero las sospechas comienzan a aparecer al leer la lista de permisos. Por ejemplo, estas aplicaciones requieren acceso al control del Wi-Fi, algo que es bastante inusual para este tipo de software. Además, al iniciarse, los editores solicitan acceso a las notificaciones e insisten hasta que el usuario acepte concederlo. Mientras el usuario está tratando de decorar su foto (con una funcionalidad deficiente), la aplicación en secreto recopila información sobre el dispositivo y la envía al servidor ps.okyesmobi[.]com.

Ejemplo de una solicitud, obtenido después de descifrar el tráfico de la aplicación:

Como se puede ver, se transmite información sobre el dispositivo y la red del operador. En respuesta, el software recibe un conjunto de enlaces (según el país y el proveedor de servicios) a las siguientes páginas:

Estas direcciones, después de varios desvíos, llevan al usuario a la página de suscripción. Nuestras tecnologías detectan estas páginas como not-a-virus:HEUR:AdWare.Script.Linkury.gen.

Ejemplos de páginas de “suscripción” que se descargan

Una vez recibidas las direcciones de páginas maliciosas, el programa las carga en una ventana invisible para el usuario. Antes de hacerlo, la aplicación apaga el módulo Wi-Fi en el teléfono del usuario, para facilitar que la suscripción se haga mediante la conexión de datos móviles.

Luego, la aplicación descifra el script Java complementario almacenado en los recursos de la aplicación y realiza las acciones necesarias para activar la suscripción:

• Sustituye el número de teléfono del usuario (obtenido durante la recopilación de información) en el campo correspondiente;
• Si la página de suscripción está protegida mediante CAPTCHA, la aplicación la resuelve mediante el servicio de reconocimiento de imágenes chaojiying[.]com y la inserta automáticamente en el campo correspondiente de la página.
• Si se necesita ingresar un código de SMS para activar la suscripción, la aplicación lo obtiene mediante el acceso a las notificaciones;
• Hace clic en el botón necesario para suscribirse.

¿Cómo protegerse?

El análisis de las páginas descargadas por el malware mostró que está dirigido a usuarios de diferentes países y que su distribución a través de la tienda oficial de aplicaciones permitió a los autores distribuirlo sin problemas. Para no morder el anzuelo y conservar el dinero de su cuenta de teléfono móvil, le recomendamos que estudie detenidamente la lista de permisos que solicitan las aplicaciones durante la instalación e instale en su teléfono inteligente una solución de protección que pueda detectar este tipo de amenaza. Además, puede activar la opción “prohibir contenido” o abrir una cuenta de contenido.

IOCs

SHA256

• 7F5C5A5F57650A44C10948926E107BA9E69B98D1CD1AD47AF0696B6CCCC08D13
• E706EB74BAD44D2AF4DAA0C07E4D4FD8FFC2FC165B50ED34C7A25565E310C33B
• 796A72004FAE62C43B1F02AA1ED48139DA7975B0BB416708BA8271573C462E79
• C5CA6AA73FDCB523B5E63B52197F134F229792046CBAC525D46985AD72880395
• B9038DC32DE0EA3619631B54585C247ECFD304B72532E193DED722084C4A7D1C
• D4406DEE2C0E3E38A851CEA6FD5C4283E98497A894CA14A58B27D33A89B5ED5F
• 59D64FBFF1E5A9AC1F8E29660ED9A76E5546CA07C2FF99FE56242FA43B5ABEC3
• C5B6146D7C126774E5BB299E732F10655139056B72C28AA7AD478BD876D0537E

Servidor de control y comando

• ps.okyesmobi[.]com:8802