Android/RewaFake: campaña a gran escala de apps falsas con adware en Google Play

Autor: Fernando Ruiz

El equipo de investigación para dispositivos móviles de McAfee identificó más de 1900 aplicaciones distintas relacionadas con la campaña en más de 500,000 dispositivos de más de 190 países. A juzgar por los patrones de publicación, calculamos que los operadores lanzaban entre 20 y 25 aplicaciones nuevas al día, cada una de ellas con diferentes temas, marcas y personas a las que suplantar. Las mayores concentraciones de dispositivos afectados se observaron en la India, Rusia y Estados Unidos.

La mayoría de estas apps se publicaron en la plataforma oficial de Android haciéndose pasar por productos conocidos como CapCut, Roblox, Zelle, PayPal, Netflix, Xbox Game Pass, Siri, iMessage, etc. Aunque aparecían bajo distintas cuentas de desarrollador, compartían una misma base de código, repetían las mismas prácticas engañosas y se comunicaban con el mismo servidor remoto, que indicaba a cada aplicación dónde dirigir a sus usuarios. Ese destino era un embudo publicitario y, durante nuestras pruebas, los anuncios que mostraba llevaban a páginas fraudulentas de suscripción que cobraban hasta US$49.99 al mes.

McAfee identificó las aplicaciones maliciosas, realizó un análisis técnico y comunicó sus hallazgos a Google a través de canales de divulgación responsable. Tras el informe de McAfee, Google retiró de Google Play todas las apps identificadas. McAfee forma parte de la App Defense Alliance, que fomenta la colaboración en todo el ecosistema móvil para mejorar la protección de los usuarios. McAfee Mobile Security detecta estas apps como una amenaza de riesgo medio. Para obtener más información y disfrutar de una protección total, visita McAfee Mobile Security.

Presentamos McAfee+

Protección contra robo de identidad y privacidad para tu vida digital

Descargar McAfee+

El impacto global

Esta campaña de aplicaciones falsas llegó a consumidores de todo el mundo. Los investigadores de McAfee identificaron más de 1900 apps distintas en más de 500,000 dispositivos de más de 190 países. Los datos de detección de McAfee muestran cómo se desarrolló la campaña en los principales mercados. En el Reino Unido, McAfee registró 11,862 detecciones; en Alemania, 5016; en Francia, 4288; en Australia, 1434 y en Japón, 944.

Estas cifras se refieren a los casos de aplicaciones falsas detectados por McAfee, no al número total de infecciones. Esto refleja dónde detectó McAfee estas apps, no la tasa de infección global en cada país.

Los señuelos con apps falsas cambian según la región

Aunque la campaña utilizó las mismas tácticas básicas en todo el mundo, los tipos de aplicaciones detectadas variaban según la región. A nivel mundial, los editores de video y fotos falsos representaron el 19 % de las detecciones, seguidas de las aplicaciones de streaming, televisión y deportes (13 %). Si nos fijamos más de cerca en cada mercado, se aprecian algunas diferencias notables:

• Reino Unido: las apps de streaming, televisión y deportes encabezaron la lista con un 17 % de las detecciones, seguidas por los editores de video y fotos, con un 13 %.
• Alemania: las apps falsas relacionadas con la salud representaron el 22  % de las detecciones, seguidas de los juegos y las modificaciones de juegos, con un 16 %.
• Francia: las apps de streaming, televisión y deportes fueron las más habituales, con un 20 %, seguidas de los clones de herramientas de IA, con un 17 %.
• Australia: los editores de video y fotos y los clones de herramientas de IA estuvieron prácticamente igualados, cada categoría representó aproximadamente el 16 % de las detecciones.
• Japón: las apps falsas relacionadas con la salud representaron el 29 % de las detecciones, seguidas por las de streaming, televisión y deportes, con un 18 %.

Estos resultados ponen de manifiesto cómo una misma campaña con apps falsas puede presentarse de formas muy diferentes según lo que busquen los consumidores. Ya sea una app de salud, un asistente de IA, un servicio de streaming o un juego muy popular, los nombres familiares y las marcas reconocibles pueden hacer que una app fraudulenta parezca de confianza.

El riesgo no se limita a un solo país ni a un solo tipo de aplicación. Se trata siempre del mismo engaño: una aplicación promete un servicio que te resulta familiar, pero en realidad te ofrece algo totalmente diferente.

Suplantación de servicios financieros

Hemos detectado apps falsas que se hacen pasar por Zelle, PayPal, Apple Pay, Mir Pay, Binance y varios bancos. Una app PayPal fraudulenta se había descargado más de 10,000 veces.

Zelle no tiene una app independiente para particulares sino que está integrada en la app del banco, así que cualquiera que busque “Zelle” en Google Play se va a llevar una sorpresa. Además, Apple Pay no tiene ninguna app para Android, así que los usuarios que la busquen no encontrarán ningún resultado legítimo. Estas dos búsquedas no tienen una respuesta correcta, lo que las convierte en una oportunidad ideal para para interceptar ese tráfico.

Figura 1: Los primeros resultados en Google Play al buscar “Zelle” son aplicaciones falsas

Si a eso le sumamos un navegador integrado en la app cuya barra de direcciones está oculta y cuyo destino controla el operador de forma remota, el perfil de riesgo de una app bancaria falsa simplemente no es el mismo que el de un editor de video falso, aunque por ahora las dos aplicaciones se limitan a mostrar anuncios.

Desde el punto de vista del usuario, el riesgo actual es muy claro: busca “Zelle” en Google Play, entre los primeros resultados aparecen apps falsas y, al instalarlas, en lugar de una guía bancaria, lo que obtiene es un sinfín de anuncios a pantalla completa. Si pulsa en uno de los resultados, lo lleva a una página en la que le piden los datos de la tarjeta de crédito para una prueba “gratis” que luego le cobran mensualmente.

Lo que recibieron los usuarios: anuncios de juegos de azar en una app “Para todos los públicos”

En varios casos observamos una serie de cuestionarios con estética de juegos de azar: “Gana el megabote”, “50,000 MONEDAS AL DÍA”, “Prueba tus conocimientos de fútbol”, “Juega ya”.

Ahora pensemos en quiénes consultaban esas páginas de la tienda de apps. Entre las apps cuyos datos seguían disponibles cuando realizamos el análisis, las que se hacían pasar por marcas dirigidas a niños y adolescentes acumulaban más de 86,000 descargas.

A lo largo de toda la campaña, identificamos 37 apps que se hacían pasar por juegos y servicios dirigidos a jugadores jóvenes: Roblox, Minecraft, Fall Guys, Brawl Stars, Clash of Clans, Deltarune, Xbox Game Pass e incluso GTA VI.

Figura 2: App falsa de Xbox con más de 5000 instalaciones

Todas y cada una de estas entradas tenían una clasificación de contenido “Para todos los públicos”.

Así es como funciona el proceso: un menor busca “Roblox” en Google Play, instala una app llamada “Roblox” con el logotipo de Roblox, clasificada como apta para todos los públicos… y acaba en un catálogo de premios al estilo de los juegos de azar que el operador puede redirigir a su antojo. Sin aprovechar vulnerabilidades, sin pedir permiso, sin avisos.

Las búsquedas que no tienen una respuesta correcta

Hubo una aplicación que reflejó esta estrategia especialmente bien: publicada como “AppStore: App Downloader”, la aplicación usaba un icono antiguo de la App Store y se presentaba como una versión para Android de la tienda oficial de software de Apple.

Figura 3: AppStore falsa en Google Play con más de 1000 descargas

No puede haber una App Store oficial de Apple en Android porque Apple gestiona la App Store exclusivamente para sus propias plataformas, y las aplicaciones para iOS que distribuye no son compatibles con el sistema operativo ni con el formato de las aplicaciones para Android. Por lo tanto, cualquier app de Android que diga ser la App Store de Apple no ofrece la tienda oficial, sino que suplanta el servicio.

“AppStore: App Downloader” no era una tienda alternativa, sino un canal publicitario camuflado con la marca de Apple, calificado como apto para todos los usuarios y distribuido a través de Google Play.

No hay ninguna aplicación de la App Store, Siri, iMessage, FaceTime ni Apple Pay para Android. Zelle no tiene una app independiente para particulares, sino que está integrada en la app del banco. Todo esto se busca a diario en Google Play y ninguna de esas búsquedas ofrece un resultado legítimo.

Figura 4: Varias apps falsas que no existen oficialmente en Android

La vulnerabilidad es la propia intención del usuario: quiere algo que no puede conseguir y aparece otra cosa que se parece a lo que busca. En ese momento no hay ningún control de seguridad. No tiene nada que ver con un fallo técnico, el problema es que una persona confía en un logotipo, y precisamente esa es la función de los logotipos.

¿Cómo se muestran los anuncios?

Cada aplicación es una fachada que usa el nombre de algo que se está buscando (CapCut, Roblox, Zelle, PayPal, Netflix, Huawei Health, Xbox Game Pass, Siri, iMessage) y, detrás de esa marca, no hay ningún producto real. Lo que contiene es un redireccionador.

Al iniciar la app, se conecta a un servidor gestionado por el operador:

hxxps://rewadevelopments[.]online/data/.json

El servidor responde con un pequeño bloque de configuración. Uno de los campos de ese bloque, “qureka_url”, contiene una dirección web. La app toma esa dirección y la abre en una ventana del navegador integrado en la app, una pestaña personalizada de Chrome, configurada de forma que la barra de direcciones quede oculta.

En todos los casos que observamos, la dirección llevaba a un sitio de juegos de preguntas con estética de juegos de azar que prometía recompensas diarias en monedas. Los usuarios no recibieron ningún tutorial de CapCut ni ninguna guía de Zelle sino que accedieron a un sinfín de páginas de anuncios y cuestionarios, que el operador utiliza para obtener ingresos.

Lo importante es el mecanismo que se utiliza, no tanto la carga útil concreta de este caso. Como el destino se recupera del servidor cada vez que se inicia la aplicación, el operador puede cambiar en cualquier momento dónde envían estas aplicaciones a los usuarios, sea cual sea la aplicación, sin tener que publicar la actualización ni someterse de nuevo a las revisiones de la tienda. Una app que lleve el logotipo de un banco y que abra una ventana del navegador con la barra de direcciones oculta, que dirige donde establece el operador, puede usarse para phishing y filtración de credenciales.

Figura 5: Anuncios extraídos del sitio web cargados a pantalla completa, que conducen a un fraude asociados a una suscripción

Los anuncios a pantalla completa que ven los usuarios no los muestra la app. Sus propios espacios publicitarios están configurados con los ID de prueba públicos de Google, que no generan ingresos, así que la app no gana nada con su propia publicidad. Los anuncios proceden del sitio web que abre la app: la dirección de destino indicada en la configuración JSON remota. El espacio publicitario de esa página está plagado de ofertas engañosas que, cuando se seleccionan, llevan a formularios de pago con tarjeta de crédito asociados a facturas fraudulentas por una suscripción.

Estas apps son interesantes precisamente por lo que no hacen

No hay ningún exploit, elevación de privilegios, intento de rooting, carga dinámica de código, ofuscación, carga útil cifrada ni cadena de droppers. Las aplicaciones no piden ningún permiso peligroso en Android. Desde el punto de vista del análisis estático convencional, su código presenta pocos de los indicadores que suelen asociarse al malware para Android.

Esta campaña elude muchos de esos controles porque su principal estrategia de engaño se lleva a cabo fuera del código de la aplicación. En lugar de aprovechar una vulnerabilidad del software, los atacantes sacan partido de la confianza que el usuario deposita en una tienda de aplicaciones oficial y en marcas conocidas.

El comportamiento tras la instalación puede seguir siendo sencillo técnicamente, como en este caso con la redirección publicitaria, porque convencer al usuario para que instale la aplicación es la fase más importante de todo el proceso.

Los usuarios afectados no tuvieron que hacer clic en ningún enlace malicioso ni instalar un APK desde un foro no oficial. Buscaron en una tienda oficial de aplicaciones un producto que ya conocían, y los resultados de la búsqueda mostraron una aplicación con el nombre, el logotipo y la identidad visual que esperaban.

Cómo protegerte

• Instala apps financieras solo desde el sitio web de tu banco o desde un enlace verificado. Si buscas un servicio o plataforma de pago en una tienda de apps, eres el blanco perfecto de este tipo de campañas.
• Desconfía de las apps que se presentan como “guía”, “tutorial”, “ayuda” o “consejos” para productos que ya usas.
• Los servicios legítimos no necesitan que un tercero los explique.
• Fíjate en el nombre del desarrollador, no solo en el nombre y el icono de la app. Si la app de una marca es auténtica la publicará la propia marca.
• Si un producto no está disponible en tu plataforma, ninguna aplicación puede ofrecerlo. Apple Pay, Siri e iMessage no están disponibles para Android.
• No te fíes del número de instalaciones. Varias de estas apps se descargaron miles de veces.
• Usa software de seguridad para móviles. McAfee Mobile Security detecta esta familia.

Conclusión

No hay duda de que la seguridad para dispositivos móviles ha mejorado. Los permisos son más restrictivos, los entornos aislados son más fiables, las medidas para mitigar los exploits son práctica habitual, las revisiones de las tiendas detectan más que antes y la IA ahora encuentra cargas útiles ofuscadas a una escala inalcanzable para cualquier equipo humano. Aunque todas esas medidas de protección funcionan, ninguna se puso a prueba en este caso.

Los atacantes se centran en una parte del sistema que no se puede corregir con un parche: el criterio de la persona que tiene el teléfono en la mano. Y es justo ahí donde aprovechan sus puntos débiles: confiar en un logotipo conocido, una tienda oficial o un nombre que coincide con lo que busca.

Estas apps se consideran adware o una amenaza de riesgo medio, en lugar de malware, porque el contenido fraudulento no es suyo. La app abre una página web elegida por su administrador. Los espacios publicitarios de esa página se llenan a través de mercados abiertos de publicidad programática, que se adjudican al anunciante que más puja. Las páginas fraudulentas de suscripciones pertenecen a esos anunciantes.

Dado que los ciberdelincuentes siguen sacando partido de la confianza de los usuarios, en lugar de aprovechar vulnerabilidades del software, McAfee mantiene su compromiso de proteger a los usuarios, aumentar la concienciación y colaborar con todo el sector para evitar que aplicaciones aparentemente inofensivas se conviertan en operaciones de fraude a gran escala.

 Indicadores de compromiso

Aplicaciones más frecuentes

Suplantación de servicios financieros