Kaspersky Lab ha descubierto un peligroso troyano en YoWhatsApp, una versión no oficial de la popular aplicación de mensajería WhatsApp. El troyano en cuestión responde al nombre de ‘Triada’, un viejo conocido en entornos de ciberseguridad que se ha utilizado en otros desarrollos maliciosos.

• Se ha observado que una versión no oficial de la popular aplicación de mensajería de WhatsApp llamada YoWhatsApp implementa un troyano de Android conocido como Triada. 
• El objetivo del malware es robar las claves que "permiten el uso de una cuenta de WhatsApp sin la aplicación", dice Kaspersky en su informe. "Si se roban las claves, un usuario de un mod malicioso de WhatsApp puede perder el control de su cuenta". 

La modificación de aplicaciones como la de Meta que domina las soluciones de mensajería mundial son un método efectivo para distribuir malware al aprovechar el interés y popularidad de software que usan centenares de millones de usuarios. Es una constante. Los ciberdelincuentes aprovechan cualquier aplicación, servicio o evento de impacto masivo.

La aplicación WhatsApp Plus es la misma que YoWhatsApp (Kaspersky)

YoWhatsApp ofrece a los usuarios la posibilidad de bloquear chats, enviar mensajes a números no guardados y personalizar la aplicación con una variedad de opciones temáticas. También comparte código y funciones con otros clientes de WhatsApp modificados, como FMWhatsApp y HeyMods.

La cuestión es que llega con un ‘regalito’ muy peligroso. La compañía rusa de seguridad Kaspersky ha alertado de la presencia del troyano Triada en la versión 2.22.11.75 de YoWhatsApp. Esta aplicación, que generalmente se propaga a través de anuncios fraudulentos en Snaptube y Vidmate, solicita a las víctimas que le concedan permisos para acceder a los mensajes SMS, lo que para empezar ya permite que el troyano los inscriba en suscripciones de pago sin su conocimiento.

Más allá y una vez instalado, el troyano intentará robar las claves de WhatsApp y si eso sucede, permitirá al atacante acceder a los mensajes de chat y hacerse pasar por la víctima para enviar correo no deseado (spam) y realizar fraudes financieros. Además de perder el control de la cuenta, por lo que sería muy sencillo ampliar este u otro malware a tus contactos.

Este desarrollo llega después que Meta presentara una demanda contra desarrolladores chinos y taiwaneses por distribuir aplicaciones no oficiales de WhatsApp, incluido HeyMods, que terminó comprometiendo medio millón de cuentas. Hace poco más de un año, también se descubrió el malware Triada en mods similares, FMWhatsApp.

«Los ciberdelincuentes utilizan cada vez más el poder del software legítimo para distribuir aplicaciones maliciosas», concluyen los investigadores de Kaspersky para alertar de estos mods (algunos muy atractivos para ampliar funcionalidades del software original), pero con los que hay tener un cuidado extremo. 

La versión modificada de la aplicación de mensajería WhatsApp para Android es troyanizada para interceptar mensajes de texto, entregar cargas maliciosas, mostrar anuncios a pantalla completa y registrar propietarios de dispositivos para suscripciones premium no deseadas sin su conocimiento.

"El troyano Triada se coló en una de estas versiones modificadas del mensajero llamada FMWhatsApp 16.80.0 junto con el kit de desarrollo de software publicitario (SDK). Esto es similar a lo que sucedió con APKPure, donde el único código malicioso que estaba incrustado en la aplicación era un descargador".

Los ciberdelincuentes suelen utilizar aplicaciones de código abierto como YoWhatsApp que permiten el uso de una cuenta de WhatsApp sin la aplicación. YoWhatsApp ofrece a los usuarios la posibilidad de bloquear chats, enviar mensajes a números no guardados y personalizar la aplicación con una variedad de opciones temáticas. También se dice que comparte superposiciones con otros clientes de WhatsApp modificados, como FMWhatsApp y HeyMods. 

   La compañía de ciberseguridad dijo que encontró la funcionalidad maliciosa en la versión 2.22.11.75 de YoWhatsApp. La aplicación, que generalmente se propaga a través de anuncios fraudulentos en Snaptube y Vidmate, solicita a las víctimas que le concedan permisos para acceder a los mensajes SMS, lo que permite que el malware los inscriba en suscripciones pagas sin su conocimiento.

Un robo exitoso de las claves puede llevar a un compromiso total de la cuenta, lo que permite al adversario acceder a los mensajes de chat e incluso hacerse pasar por la víctima para enviar correo no deseado y realizar fraudes financieros.

Meta presentó una demanda contra tres desarrolladores en China y Taiwán por distribuir aplicaciones no oficiales de WhatsApp, incluido HeyMods, que resultó en el compromiso de más de un millón de cuentas de usuario.

Los hallazgos también llegan poco más de un año después de que se descubriera que los actores de amenazas entregaban el malware Triada a través de FMWhatsApp.

"Los ciberdelincuentes utilizan cada vez más el poder del software legítimo para distribuir aplicaciones maliciosas", señalaron los investigadores. "Esto significa que los usuarios que eligen aplicaciones populares y fuentes de instalación oficiales aún pueden ser víctimas de ellas". 

Fuentes:

https://www.muycomputer.com/2022/10/13/yowhatsapp-y-el-peligro-de-las-apps-modificadas/

https://blog.segu-info.com.ar/2022/10/aplicaciones-modificadas-simulan.html