Un peligroso malware para Android llamado Arsink RAT ha surgido como una grave amenaza para la seguridad de los dispositivos móviles en todo el mundo. Este troyano de acceso remoto basado en la nube otorga a los atacantes control total sobre los dispositivos infectados mientras roba información personal de forma silenciosa.

El malware se propaga a través de plataformas de redes sociales como Telegram, Discord y sitios de intercambio de archivos como MediaFire, haciéndose pasar por aplicaciones populares para engañar a los usuarios y lograr su instalación.

Arsink opera fingiendo ser aplicaciones legítimas de marcas conocidas, incluyendo Google, YouTube, WhatsApp, Instagram, Facebook y TikTok.

Los atacantes distribuyen versiones falsas de "mod" o "pro" de estas apps, convenciendo a las víctimas de que están descargando funciones mejoradas.

Una vez instalado, el malware solicita permisos excesivos y comienza sus actividades de vigilancia sin proporcionar ninguna funcionalidad real.

La amenaza afecta a usuarios a nivel global, con aproximadamente 45.000 direcciones IP únicas de víctimas identificadas en 143 países.

Analistas de Zimperium identificaron la campaña de malware tras rastrear su rápida expansión durante varios meses. El equipo de investigación descubrió 1.216 archivos APK maliciosos distintos y 317 puntos finales de Firebase Realtime Database utilizados para operaciones de comando y control.

Lo más preocupante es la escala del robo de datos que ocurre silenciosamente en segundo plano. El malware captura mensajes SMS (incluyendo contraseñas de un solo uso), registros de llamadas, contactos, ubicación del dispositivo e incluso grabaciones de audio a través del micrófono.

Las mayores concentraciones de infecciones se registran en Egipto, con alrededor de 13.000 dispositivos comprometidos, seguido de Indonesia con 7.000 casos, e Irak y Yemen, cada uno con 3.000 infecciones.

Países como Pakistán, India y Bangladesh también muestran un número significativo de víctimas, lo que demuestra la naturaleza generalizada de esta amenaza.

Métodos de distribución mediante ingeniería social

La estrategia de distribución de Arsink depende en gran medida de técnicas de ingeniería social en lugar de exploits técnicos.

Los atacantes utilizan múltiples servicios en la nube para diferentes propósitos, lo que dificulta su detección. Algunas variantes suben archivos robados a Google Drive usando Google Apps Script, mientras que otras envían información directamente a bots de Telegram controlados por los atacantes.

Una tercera variante oculta una carga maliciosa secundaria dentro de la aplicación inicial, que se extrae e instala sin necesidad de conexión a internet.

El malware mantiene la persistencia en los dispositivos infectados ocultando su icono de aplicación y ejecutando un servicio en primer plano que resiste la terminación.

Esto permite una monitorización y recolección de datos continua incluso cuando los usuarios creen que han cerrado todas las aplicaciones.

Los operadores remotos pueden activar diversas acciones, como encender la linterna, realizar llamadas telefónicas, subir archivos e incluso borrar todos los datos del almacenamiento externo como medida destructiva.