Una peligrosa campaña de malware para Android ha surgido, atacando a los usuarios a través de juegos móviles y modificaciones de aplicaciones de streaming piratas. La amenaza, conocida como Android.Phantom, utiliza tecnología de aprendizaje automático para realizar fraudes automatizados de clics en anuncios en smartphones infectados. Se han registrado más de 155.000 descargas de juegos comprometidos, con infecciones adicionales propagándose a través de versiones modificadas de Spotify, YouTube, Netflix

Ha surgido una peligrosa campaña de malware para Android que ataca a los usuarios a través de juegos móviles y modificaciones de apps de streaming piratas.

La amenaza, conocida como Android.Phantom, utiliza tecnología de aprendizaje automático para realizar fraude publicitario automatizado en smartphones infectados.

Se han registrado más de 155.000 descargas de juegos comprometidos, y las infecciones adicionales se propagan a través de versiones modificadas de Spotify, YouTube, Netflix y Deezer en plataformas no oficiales.

El malware se propaga a través de varios canales, incluyendo la tienda oficial GetApps para dispositivos Xiaomi, donde se descubrieron seis juegos infectados del desarrollador SHENZHEN RUIREN NETWORK CO., LTD..

Estas apps se lanzaron inicialmente sin código malicioso, pero las actualizaciones publicadas a finales de septiembre introdujeron el troyano Android.Phantom.

La distribución va más allá de las tiendas oficiales e incluye sitios web de modding dedicados, canales de Telegram con decenas de miles de suscriptores y servidores de Discord donde los administradores promueven activamente descargas infectadas.

Los investigadores de Dr.Web señalaron que Android.Phantom opera usando dos modos distintos llamados phantom y signaling. El malware se conecta a servidores de comando controlados por los atacantes, que dictan sus patrones de comportamiento.

Su diseño sofisticado incorpora TensorFlowJS, un marco de aprendizaje automático que permite la identificación inteligente y el clic automatizado de elementos publicitarios mostrados en navegadores ocultos que se ejecutan en los dispositivos infectados.

La amenaza consta de múltiples componentes interconectados. Android.Phantom.2.origin actúa como la variante principal, posteriormente mejorada por Android.Phantom.5, que funciona como un dropper que entrega cargadores de código remoto.

Estos cargadores recuperan módulos adicionales de fraude de clics diseñados para plataformas publicitarias específicas.

Cómo funciona el ataque con aprendizaje automático

El modo phantom representa la capacidad más avanzada del malware, utilizando inteligencia artificial para interacciones fraudulentas con anuncios.

Android.Phantom.2.origin despliega un navegador oculto basado en la tecnología de widget WebView, cargando sitios web objetivo según las instrucciones de los servidores de comando.

El malware inyecta entonces scripts de automatización JavaScript junto con el marco TensorFlowJS.

Un modelo de IA descargado de servidores externos analiza capturas de pantalla de páginas web tomadas desde una pantalla virtual, identificando componentes publicitarios en los que se puede hacer clic.

Este enfoque inteligente imita el comportamiento genuino de un usuario, haciendo que los clics fraudulentos sean más difíciles de detectar para las redes publicitarias en comparación con scripts automatizados básicos.

Ha surgido una peligrosa campaña de malware para Android que ataca a los usuarios a través de