Ciberdelincuentes están abusando del programa de Acceso Anticipado de Google Play para distribuir apps engañosas que prometen dinero y premios. Al no permitir reseñas ni calificaciones públicas, los atacantes engañan a los usuarios mediante anuncios con deepfakes en redes sociales para generar ingresos por publicidad. Además, se reporta el surgimiento de troyanos y ransomware que afectan a usuarios de Android globalmente.







Actores maliciosos están abusando del programa de Acceso Anticipado de Google Play para impulsar aplicaciones engañosas que afirman ofrecer dinero, recompensas, ganancias de casino y contenido premium.

Las aplicaciones de Acceso Anticipado son aplicaciones que aún no se han lanzado en el mercado oficial de aplicaciones de Android. La idea principal del programa es que los desarrolladores soliciten la opinión de los usuarios sobre nuevas aplicaciones o funciones en las que puedan estar trabajando antes de su lanzamiento.

Un aspecto que vale la pena destacar es que los usuarios no pueden dejar reseñas públicas ni calificaciones por estrellas para las aplicaciones que están disponibles en Acceso Anticipado. Esto ha abierto la puerta a un nuevo tipo de abuso donde los atacantes están impulsando miles de aplicaciones de Acceso Anticipado con contenido engañoso, incluyendo juegos de casino falsos y aplicaciones de recompensas, así como utilidades engañosas y títulos que pueden infringir marcas comerciales de terceros.

Entre las aplicaciones identificadas se encuentra un imitador de Grand Theft Auto llamado "Vice Streets: Open World" (paquete APK: com.gamblechaos.withfriends.game), que tiene más de 1 millón de descargas. El juego no tiene reseñas ni calificaciones. Actualmente ya no está disponible en la Google Play Store, aunque no está claro si fue eliminado por Google o por los propios uploaders.

"La misma función que protege a los desarrolladores de las críticas injustas también priva a los usuarios de la advertencia más temprana de que no se puede confiar en una aplicación", afirmó Bitdefender en un comunicado.

Debido a que no puedes dejar reseñas críticas ni calificaciones bajas, las señales de confianza tradicionales ya no se aplican, lo que permite que estas aplicaciones ganen tracción. Se dice que estas aplicaciones se promocionan a través de TikTok, Facebook y otras plataformas de redes sociales utilizando anuncios falsos que incluyen videos con deepfakes de celebridades generados mediante inteligencia artificial (IA).

"Un patrón recurrente entre las aplicaciones sospechosas de Acceso Anticipado consiste en prometer recompensas en efectivo, pagos de PayPal, ganancias en criptomonedas, tarjetas de regalo, giros gratis o premios gordos de casino", afirmó la empresa de ciberseguridad rumana en un informe compartido con Bitdefender.

"Muchas de estas aplicaciones se basan en el mismo ciclo de compromiso. El usuario instala la aplicación después de ver un anuncio en TikTok o Facebook. Incluso podrían recibir generosas recompensas virtuales casi inmediatamente, pero cuando alcanzan un umbral de retiro, el progreso se ralentiza drásticamente. El pago prometido nunca llegará".

El objetivo final es generar ingresos ilícitos sirviendo anuncio tras anuncio. Otra ventaja que tienen estas aplicaciones de Acceso Anticipado orientadas al casino es que les permiten eludir muchos de los requisitos regulatorios que las aplicaciones de juego legítimas deben cumplir.

Para evitar las restricciones de licencia, geovallas y verificación de edad, las aplicaciones de estilo casino se hacen pasar por juegos casuales de tragamonedas y rompecabezas, y se promocionan agresivamente a través de anuncios en redes sociales que dirigen a usuarios desprevenidos a aplicaciones de Acceso Anticipado en la Google Play Store o directamente a varios sitios web de apuestas.

Análisis posteriores indican que los señuelos utilizados para estas aplicaciones van más allá de los juegos de casino, las máquinas tragamonedas y las aplicaciones de recompensas falsas, incluyendo lectores de PDF, escáneres de códigos QR, rastreadores telefónicos, aplicaciones de utilidad y juegos temáticos de marcas registradas.



"El programa de Acceso Anticipado de Google sigue siendo una herramienta valiosa para los desarrolladores que prueban nuevas ideas", dijo Bitdefender. "Eliminar los comentarios y las calificaciones protege a los desarrolladores legítimos del bombardeo de reseñas injustas, pero también elimina una de las defensas más fuertes de la comunidad contra el software engañoso".

The Hacker News ha contactado a Google para obtener comentarios, y actualizaremos la historia si recibimos respuesta.

La aparición de múltiples familias de malware

La revelación coincide con la aparición de múltiples familias de malware dirigidas a Android:

* Hagaseca [enlace], un troyano de acceso remoto difundido a través del cargador THost9 que contiene un componente de gusano, el cual escanea los servicios expuestos de Android Debug Bridge (ADB) e instala el malware para persistencia y control remoto a través de la ejecución de shell, transferencias de archivos, túneles y módulos descargables.
* Mantax Otax [enlace], un malware móvil híbrido que combina capacidades integrales de spyware y funcionalidad de ransomware, permitiendo al operador robar datos sensibles, cifrarlos en versiones antiguas de Android (Android 9 o anteriores) y exigir el pago de un rescate bloqueando la pantalla del dispositivo. Los indicadores de idioma y archivos de las víctimas sugieren que la actividad se centra principalmente en objetivos indonesios.
* StreamRat, que abusa de los servicios de accesibilidad de Android y la API MediaProjection para controlar dispositivos infectados, servir superposiciones y recolectar datos sensibles. El malware se dirige a usuarios de habla hispana a través de anuncios de Meta y TikTok para dirigir a los usuarios a sitios falsos haciéndose pasar por un servicio gratuito de streaming de TV llamado StreamTV Esp.

El desarrollo también coincide con el uso del troyano bancario Gigabud para instalar una aplicación complementaria de Android llamada Vwork, un fork armado de Shelter, para clonar una aplicación objetivo dentro de un perfil de trabajo con el objetivo de realizar fraudes financieros.

"Con control remoto total, y donde sea pertinente una aplicación bancaria clonada, el operador lleva a cabo transacciones directamente en el teléfono de la víctima mientras una pantalla negra oculta lo que está sucediendo", dijo Group-IB. "Se utiliza un entorno clonado para evadir los controles de protección contra el fraude".

Fuente:
THN