Ocho millones de móviles son muchos. Y, para conseguir llegar a todos ellos para mostrarles publicidad de forma irregular, hay que ser un verdadero experto. La fórmula utilizada por quienes han diseñado y puesto en práctica Android/AdDisplay.Ashas, fue crear 42 aplicaciones que se ponían a disposición de los usuarios sin coste alguno para ellos. La mayoría ofrecían descarga de vídeos, juegos sencillos o incluso emisoras de radio.
El adware suplanta a Google y Facebook para evitar sospechas y permanecer en el dispositivo el mayor tiempo posible
Una vez instaladas las aplicaciones, los autores del adware analizan los mecanismos de seguridad de Google Play. Con el fin de eludir otros sistemas de control, retrasan la publicación de los anuncios hasta 24 minutos después de desbloquear el dispositivo. De esa manera, no pueden ser asociados con la aplicación infectada. Además, esconden su icono y crean atajos de acceso. Los anuncios se muestran a pantalla completa y si el usuario quiere comprobar quién está detrás de la 'app', el malware se hace pasar por Google o Facebook. "El adware suplanta estas dos apps como legítimas para evitar sospechas y permanecer en el dispositivo el mayor tiempo posible", ha explicado Lukas Stefanko, investigador de malware en ESET, la compañía de seguridad que ha dado la voz de alarma.
Una de las peculiaridades de esta familia de adware es que esconde su código bajo el nombre del paquete 'com.google.xxx'. "Hacerse pasar por un servicio legítimo de Google puede ayudar a la 'app' a evitar su análisis, ya que algunos mecanismos de detección y 'sandboxes' agregan a sus listas blancas este tipo de nombres de paquete para evitar consumir recursos", añade Stefanko. Al analizar el adware, los investigadores de ESET se dieron cuenta de que el desarrollador había dejado ciertas huellas y pudieron identificarlo como el operador de la campaña y propietario del servidor de mando y control.
"El equipo de seguridad de Google ha eliminado todas estas aplicaciones una vez informamos de ello pero siguen disponibles en otras tiendas de terceros", ha advertido el Stefanko.