Dvmap: Android Malware con una nueva técnica para controlar dispositivos aparece en Google Play

Los expertos de Kaspersky Lab han descubierto un nuevo troyano inusual que se distribuye a través de Google Play Store. El troyano Dvmap no solo es capaz de obtener derechos de acceso de root en un teléfono inteligente Android, sino que también puede tomar el control del dispositivo inyectando código malicioso en la biblioteca del sistema. Si tiene éxito, puede eliminar el acceso raíz, lo que ayuda a evitar la detección. El troyano se ha descargado de Google Play más de 50.000 veces desde marzo de 2017. Kaspersky Lab informó sobre el troyano a Google y ahora se ha eliminado de la tienda.
La introducción de la capacidad de inyección de código es una novedad peligrosa en el malware móvil. Dado que el enfoque se puede utilizar para ejecutar módulos maliciosos incluso con el acceso de root eliminado, las soluciones de seguridad y las aplicaciones bancarias con funciones de detección de root que se instalen después de la infección no detectarán la presencia del malware.
Sin embargo, la modificación de las bibliotecas del sistema es un proceso riesgoso que puede fallar. Los investigadores observaron que el malware Dvmap rastrea e informa todos sus movimientos a su servidor de comando y control, aunque el servidor de comando no respondió con instrucciones. Esto sugiere que el malware aún no está completamente listo o implementado.
Dvmap se distribuye como un juego a través de Google Play Store. Para evitar los controles de seguridad de la tienda, los creadores de malware cargaron una aplicación limpia en la tienda a fines de marzo de 2017 y luego la actualizaron con una versión maliciosa por un período corto de tiempo, antes de cargar otra versión limpia. En el espacio de cuatro semanas lo hicieron al menos cinco veces.
El troyano Dvmap se instala en el dispositivo de la víctima en dos etapas. Durante la fase inicial, el malware intenta obtener derechos de root en el dispositivo. Si tiene éxito, instalará una serie de herramientas, algunas de las cuales incluyen comentarios en chino. Uno de estos módulos es una aplicación, «com.qualcmm.timeservices», que conecta al troyano con su servidor de comando y control. Sin embargo, durante el período de investigación, el malware no recibió ningún comando a cambio.
En la fase principal de la infección, el troyano lanza un archivo de «inicio», verifica la versión de Android instalada y decide en qué biblioteca inyectar su código. El siguiente paso: sobrescribir el código existente con código malicioso puede hacer que el dispositivo infectado se bloquee.

Las bibliotecas del sistema recién parcheadas ejecutan un módulo malicioso que puede desactivar la función ‘VerifyApps’. Luego activa la configuración ‘Fuentes desconocidas’ que le permite instalar aplicaciones desde cualquier lugar, no solo Google Play Store. Pueden ser aplicaciones publicitarias maliciosas o no solicitadas.
«El troyano Dvmap marca un nuevo desarrollo peligroso en el malware de Android, con el código malicioso inyectándose en las bibliotecas del sistema donde es más difícil de detectar y eliminar. Los usuarios que no cuentan con la seguridad necesaria para identificar y bloquear la amenaza antes de que se produzca, tendrán un momento difícil por delante. Creemos que hemos descubierto el malware en una etapa muy temprana. Nuestro análisis muestra que el informe de módulos maliciosos cada uno de sus movimientos a los atacantes y algunas técnicas pueden romper los dispositivos infectados. El tiempo es esencial si vamos a prevenir un ataque masivo y peligroso., » dijo Roman Unuchek, analista senior de malware de Kaspersky Lab.
Se recomienda a los usuarios preocupados de que puedan haber sido infectados por Dvmap que hagan una copia de seguridad de todos sus datos y realicen un restablecimiento de datos de fábrica. Además, Kaspersky Lab aconseja a todos los usuarios que instalen una solución de seguridad confiable, como Kaspersky Internet Security para Android, en su dispositivo, siempre verifique que las aplicaciones hayan sido creadas por un desarrollador de renombre, para mantener su sistema operativo y software de aplicación actualizados, y no descargar nada que parezca sospechoso o cuya fuente no pueda ser verificada.
Para obtener más información sobre el troyano Dvmap, lea el blog en Securelist.com.
Todos los productos de Kaspersky Lab detectan al troyano como Trojan.AndroidOS.Dvmap.a.