Se ha descubierto una operación de fraude publicitario a gran escala llamada Trapdoor que tiene como objetivo a los usuarios de Android a través de 455 aplicaciones maliciosas, generando silenciosamente clics falsos en anuncios y agotando presupuestos publicitarios reales en todo el ecosistema digital.

En su punto máximo, la operación produjo 659 millones de solicitudes de puja fraudulentas en un solo día y acumuló más de 24 millones de descargas en dispositivos afectados de todo el mundo.

Lo que hace que Trapdoor sea particularmente peligrosa es lo normal que parece a primera vista. Las aplicaciones de este esquema se presentan como simples herramientas de utilidad: visores de PDF, gestores de archivos y aplicaciones de limpieza de dispositivos que cualquier usuario común podría descargar sin preocuparse demasiado.

Una vez instaladas, estas aplicaciones no inician inmediatamente una actividad maliciosa. En su lugar, envían anuncios falsos advirtiéndote que la aplicación está desactualizada y necesita una actualización urgente.

Cuando haces clic en ese aviso, terminas instalando, sin saberlo, una segunda aplicación más dañina controlada por los mismos actores de la amenaza.

Investigadores del Equipo de Investigación e Inteligencia de Amenazas Satori de HUMAN, incluidos Louisa Abel, Ryan Joye, João Marques, João Santos y Adam Sell, identificaron e interrumpieron la operación.

HUMAN Security afirmó en un informe compartido con Cyber Security News (CSN) que la campaña fusiona el malvertising y el fraude publicitario dentro de un único canal conectado, convirtiéndola en una de las amenazas técnicamente más complejas descubiertas en el ecosistema Android en los últimos tiempos.

Las aplicaciones secundarias son donde ocurre el fraude real. Una vez instaladas, lanzan ventanas de navegador ocultas que cargan dominios HTML5 propiedad de los atacantes e interactúan automáticamente con los anuncios sin que tú veas absolutamente nada.

Operación de Fraude Publicitario Trapdoor para Android

Esto genera ingresos para los atacantes mientras consumen presupuestos de anunciantes legítimos en clics que ninguna persona real realizó jamás.

Esas ganancias pueden entonces financiar campañas adicionales de malvertising, creando un bucle autosustentable que mantiene viva la operación.

Google ha eliminado todas las aplicaciones identificadas de la Play Store tras una divulgación responsable. Los investigadores señalaron que los atacantes seguían publicando nuevas aplicaciones y rotando dominios recientes incluso mientras se finalizaba el informe, sin mostrar signos de detenerse.

Trapdoor se mueve a través de cuatro etapas conectadas: distribución, activación, entrega de la carga útil y monetización. La primera etapa depende de las tiendas de aplicaciones, donde los usuarios descargan voluntariamente aplicaciones que parecen útiles e inofensivas.

Las aplicaciones iniciales se mantienen lo suficientemente limpias para pasar los controles básicos de revisión de seguridad y evitar levantar sospechas tempranas. Tras la instalación, la primera aplicación comienza a mostrar anuncios falsos con forma de alertas de actualización urgente.

Estos avisos resultan creíbles y familiares, explotando el hábito común de hacer clic en las notificaciones de las aplicaciones sin una inspección cuidadosa. Los usuarios que caen en esto terminan instalando una segunda aplicación, que es la verdadera portadora de la carga útil en esta operación.

La segunda aplicación oculta su actividad dentro de ventanas de navegador a pantalla completa que tú nunca ves. Estas ventanas ocultas cargan páginas HTML5 en dominios propiedad de los atacantes y ejecutan gestos táctiles programados dirigidos a espacios publicitarios específicos.

Los datos de los gestos provienen de dos archivos adjuntos, move.txt y click.txt, que mapean coordenadas exactas de la pantalla y tiempos para que los clics falsos parezcan genuinamente humanos.

Tácticas de Evasión que Complican la Detección

Uno de los rasgos más notables de Trapdoor es la eficacia con la que evita ser detectada. El flujo de trabajo malicioso nunca se activa para las descargas orgánicas, lo que significa que un analista que descargue la aplicación directamente de la Play Store no verá nada dañino.

El fraude solo se activa para los usuarios que llegaron a través de las campañas pagadas de los atacantes, confirmado por un valor de rastreador de atribución de marketing dentro del registro de instalación.

Más allá de este activador selectivo, las aplicaciones utilizan empaquetado de código, cifrado de cadenas y virtualización de código para ralentizar significativamente los intentos de ingeniería inversa.

Algunas variantes también suplantan herramientas publicitarias legítimas a nivel de código, ayudando a que la lógica maliciosa pase la inspección inicial.

Además, las aplicaciones verifican si hay actividad de VPN e indicadores de depuración, suprimiendo todo comportamiento malicioso en el momento en que se encuentre cualquiera de los dos.

Se te aconseja evitar aplicaciones de estilo utilidad de desarrolladores desconocidos y leer cuidadosamente las solicitudes de permisos antes de instalar cualquier cosa nueva.

Eliminar las aplicaciones que ya no uses y mantener tus dispositivos actualizados con los parches de seguridad actuales son hábitos sencillos que reducen significativamente la exposición a operaciones como Trapdoor.

Indicadores de Compromiso (IoCs):-

La siguiente tabla refleja los tipos de IoC y los artefactos técnicos clave confirmados dentro de la operación:-

Nota: Las direcciones IP y los dominios han sido desarmados intencionalmente (por ejemplo, [.]) para evitar la resolución accidental o el hipervínculo. Reactívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.