El malware  bautizado como "FalseGuide" que se encontraba oculto dentro de guías para juegos populares, como Pokémon GO y FIFA, consiguió burlar en varias ocasiones las defensas de seguridad de Google Play .Las aplicaciones se subieron a la tienda de aplicaciones desde noviembre de 2016, lo que significa que se ocultaron con éxito durante cinco meses, acumulando un asombroso número de descargas. La estimación actualizada incluye ahora casi 2 millones de usuarios infectados.

¿Qué es una botnet?

Una botnet es un grupo de dispositivos controlados por delincuentes sin el conocimiento de sus propietarios. Los bots se utilizan por diversas razones basadas en las capacidades de computación distribuida de todos los dispositivos.

¿Alguien está intentando crear una botnet en Google Play?

Incluso después de que se hayan eliminado de la tienda de aplicaciones, las aplicaciones fraudulentas todavía pueden estar causando problemas a las personas que las descargaron.

 Los investigadores de amenazas móviles de Check Point detectaron una nueva variedad de malware en Google Play, la tienda oficial de aplicaciones de Google. El malware, denominado "FalseGuide", estaba oculto en más de 40 aplicaciones de guías para juegos, la más antigua de las cuales se subió a Google Play el 14 de febrero de 2017. Varias de las aplicaciones lograron llegar a más de 50.000 instalaciones y el número total de dispositivos infectados se estimaba el alcance hasta 600.000 dispositivos. Check Point notificó a Google sobre el malware y se eliminó rápidamente de la tienda de aplicaciones. A principios de abril, dos nuevas aplicaciones maliciosas se subieron a Google Play que contenían este malware, y Check Point notificó a Google una vez más.

Similar al malware anterior que se encuentra en Google Play, como Viking Horde y DressCode,

FalseGuide crea una botnet silenciosa de los dispositivos infectados con fines de adware.

FalseGuide solicita un permiso inusual en la instalación - permiso del administrador del dispositivo. El malware utiliza el permiso de administración para evitar ser eliminado por el usuario, una acción que normalmente sugiere una intención malintencionada.  Después de la instalación, el malware se registra en Firebase Cloud Messaging - un servicio multiplataforma que permite a los desarrolladores enviar notificaciones y mensajes. Una vez suscrito al tema, FalseGuide puede recibir mensajes que contienen enlaces a módulos adicionales y descargarlos al dispositivo infectado.

Después de una larga espera, pudimos recibir dicho módulo y determinar que la botnet se usa para mostrar anuncios pop-up ilegítimos fuera de contexto, utilizando un servicio de fondo que se inicia cuando se arranca el dispositivo. Dependiendo de los objetivos de los atacantes, estos módulos pueden contener código altamente malicioso destinado a enraizar el dispositivo, realizar un ataque DDoS, o incluso penetrar en redes privadas.

FalseGuide se disfraza como aplicaciones guías para juegos por dos razones principales. En primer lugar, las aplicaciones guías son muy populares, monetizando el éxito de las aplicaciones de juegos originales. En segundo lugar, las aplicaciones guías requieren muy poco desarrollo y aplicación de características. Para los desarrolladores de malware, esta es una buena manera de llegar a un público generalizado con un esfuerzo mínimo. Las aplicaciones maliciosas fueron presentadas bajo los nombres de dos desarrolladores falsos - Sergei Vernik y Nikolai Zalupkin, sugiriendo una conexión rusa, mientras que el segundo es claramente (para un hablante ruso) un nombre inventado.

Las botnets móviles son una tendencia creciente desde principios del año pasado, creciendo en sofisticación y alcance. Este tipo de malware logra infiltrarse en Google Play debido a la naturaleza no maliciosa del primer componente, que sólo descarga el código dañino real. Los usuarios no deben confiar en las tiendas de aplicaciones para su protección e implementar medidas de seguridad adicionales en su dispositivo móvil, así como utilizan soluciones similares en sus PCs.

Aplicaciones afectadas

 

• Guide or FIFA Mobile
• Guide for LEGO Nexo Knights
• Guide for Rolling sky
• Guide for LEGO City My City
• Guide for Terraria 
• Guide for Pokemon GO
• Guide Amazing Spider-Man 2
• ProGuide LEGO Marvel Superhero
• Guide Dream League Soccer
• LEGUIDE LEGO City Undercover
• Guide for Ninjago Tournament
• Guide for Shadow fight 3 and 2
• Guide for Mortal Kombat X
• Guide For FIFA 17
• Guide for Hungry Shark World
• Guide for Ninjago Tournament

Fuentes:
http://blog.checkpoint.com/2017/04/24/falaseguide-misleads-users-googleplay/