El troyano móvil Svpeng muda a 'keylogger' y amenaza incluso a los dispositivos con el software actualizado

Este troyano modificado, como explican desde la compañía de ciberseguridad, roba el texto introducido, como las credenciales bancarias, aprovechándose de los servicios de accesibilidad de Android. Este nuevo enfoque permite también que el troyano se haga con otros permisos y derechos, así como que pueda defenderse de los intentos para desinstalarlo.

Los servicios de accesibilidad suelen tomar la forma de mejoras del interfaz (UI) para dar soporte a usuarios con alguna diversidad funcional o también para aquellos que temporalmente no pueden interactuar con un dispositivo, como cuando conducen.

En julio de 2017, los investigadores de Kaspersky Lab descubrieron que Svpeng había evolucionado hasta poder explotar las características de este sistema, y que era capaz de robar el texto introducido en el dispositivo desde otras aplicaciones, y dotarse de derechos adicionales.

El troyano se distribuye a través de páginas web maliciosas como una aplicación de reproducción flash falsa. Una vez activada, solicita permiso para utilizar los servicios de accesibilidad. De esta forma, puede acceder a las UI de otras aplicaciones y capturar pantallas cada vez que se introduce una clave en el teclado, como por ejemplo las credenciales bancarias.

Algunas aplicaciones, principalmente las bancarias, no permiten hacer captura de pantalla. En estos casos, el troyano dibuja su ventana 'phishing' sobre la aplicación, como detallan desde la compañía en un comunicado.

El troyano también puede llegar a instalarse como la aplicación SMS predeterminada, mandar y recibir SMS, hacer llamadas, leer contactos y bloquear cualquier intento de eliminar los derechos de administración del dispositivo, evitando así su desinstalación.

Las técnicas del troyano funcionan incluso en dispositivos completamente actualizados, que cuentan con la última versión de Android OS y todas las actualizaciones de seguridad al día. Lo que significa que mantener al día el software del dispositivo no es suficiente para estar protegido frente a este troyano, como avisan desde Kaspersky Lab.

Según la compañía, el troyano no se ha propagado mucho todavía, y el número de ataques de momento es bajo. La mayoría de los ataques detectados hasta la fecha lo han sido en Rusia (29%), Alemania (27%), Turquía (15%), Polonia (6%) y Francia (3%). Todo esto incluye ataques 'phishing'.

Kaspersky Lab aconseja a los usuarios que instalen en su dispositivo una solución de seguridad fiable, como Kaspersky Internet Security para Android; comprobar siempre que las aplicaciones provienen de un desarrollador reconocido; y no descargar nada que pueda parecer sospechoso o cuyo origen no pueda ser verificado.