El malware de Android GriftHorse infectó más de 10 millones de dispositivos

Los expertos de Zimperium han descubierto el malware GriftHorse dirigido a Android. Malvar ha estado activo desde noviembre de 2020 y suscribe a sus víctimas a servicios de SMS de pago. Ya ha infectado más de 10 millones de dispositivos en 70 países de todo el mundo, y se cree que los operadores de GriftHorse "ganan" entre 1,5 millones y 4 millones de dólares al mes.

Las versiones de GriftHorse notadas por los expertos se distribuyeron a través de la tienda oficial de Google Play y catálogos de aplicaciones de terceros, por regla general, disfrazadas de otras aplicaciones inofensivas.

Si el usuario instala dicha aplicación, GriftHorse comienza a bombardearlo con ventanas emergentes y notificaciones, que ofrecen varios premios y ofertas especiales. Si la víctima hace clic en una de estas notificaciones, se le redirige a una página donde se le pide que verifique su número de teléfono, aparentemente para acceder a la oferta. De hecho, aquí los usuarios se suscriben a servicios de SMS de pago, cuyo coste en ocasiones supera los 30 euros al mes. Este dinero acaba yendo a los bolsillos de los operadores de GriftHorse.

Los investigadores de Zimperium, que han estado rastreando malware durante varios meses, escriben que esta es "una de las campañas más grandes que el equipo de zLabs presenció en 2021".

Se enfatiza que los creadores de GriftHorse han trabajado arduamente para mejorar la calidad de su código malicioso y utilizan una amplia gama de sitios, aplicaciones maliciosas y personalidades de desarrolladores para evitar ser detectados.

“El nivel de sofisticación, el uso de nuevas técnicas y la determinación mostrada por los atacantes les permitió pasar meses sin ser detectados. Además de utilizar una gran cantidad de aplicaciones, su distribución estaba muy bien planificada: las aplicaciones se distribuyeron en muchas categorías diferentes, ampliando el círculo de víctimas potenciales, escriben los expertos. - Esta campaña se ha desarrollado activamente durante varios meses a partir de noviembre de 2020, con la última actualización de abril de 2021. Esto significa que una de sus primeras víctimas, si aún no ha desactivado la suscripción fraudulenta, ya ha perdido más de 200 € en el momento de redactar [este informe] ".
Distribución de aplicaciones infectadas por categoría