Symantec encontró aplicaciones con malware oculto en Google Play con más de 2,1 millones de descargas. Las aplicaciones maliciosas se esconden después de la instalación y muestran agresivamente anuncios de pantalla completa.

La empresa ha descubierto otra ola de aplicaciones maliciosas en Play Store que fueron reportadas a Google el pasado 2 de septiembre de 2019 y fueron eliminadas de la tienda.

Un total de 25 kits de paquetes de Android (APK), en su mayoría disfrazados como una aplicación de utilidad de fotos y una aplicación de moda, se publicaron en 22 cuentas de desarrollador diferentes, con la muestra inicial cargada en abril de 2019. Estas 25 aplicaciones maliciosas comparten una estructura de código similar y contenido de la aplicación, el código más avanzado del código fuente.

Archivo de configuración remota

Cuando se instala por primera vez, el icono de la aplicación todavía está visible en el dispositivo, lo que permite al usuario abrir e interactuar con la aplicación normalmente. Sin embargo, sin que el usuario lo sepa, la solicitud se realiza en segundo plano a través de un servicio de terceros para descargar en el archivo de configuración remota.

Si se intercepta el archivo de configuración y es posible ver varias configuraciones diferentes, incluida una que puede alternar el comportamiento de ocultación de iconos de la aplicación, así como otras configuraciones relacionadas con la publicidad. Para otros APK, se deshabilitó el comportamiento de ocultar iconos y mostrar anuncios.

Una vez que se descarga el archivo de configuración, el malware extrae la configuración y la aplica. A partir del código de malware, se puede ver que las palabras clave, como "app_hideIcon" en el caso de la función de ocultación de iconos y las mismas han sido codificadas y cifradas.

Fuente: Symantec