La versión modificada de WhatsApp para mensajería de Android ha sido trianizada para capturar mensajes de texto, manejar tráfico malicioso, mostrar anuncios a pantalla completa y suscribir propietarios de dispositivos a suscripciones premium no deseadas sin su conocimiento.

«La tríada troyana se ha infiltrado en una de estas versiones modificadas del mensajero, FMWhatsApp 16.80.0, junto con un kit de desarrollo de software publicitario (SDK)», dijeron investigadores de Kaspersky Cybersecurity Company de Rusia en un memorando técnico publicado el martes. «Es similar a lo que sucedió con APKPure, donde el único código malicioso que estaba incrustado en la aplicación era un descargador de datos».

Las versiones modificadas de aplicaciones legítimas de Android, una práctica llamada Modding, están diseñadas para realizar funciones que los desarrolladores de aplicaciones no crearon ni pretendieron originalmente. FMWhatsApp, anunciada como una versión personalizada de WhatsApp, permite a los usuarios rediseñar la aplicación con diferentes temas, personalizar íconos y ocultar funciones al final, e incluso deshabilitar funciones de videollamadas. La aplicación solo está disponible a través de sitios web de terceros.

La variante manipulada de la aplicación detectada por Kaspersky está equipada con la capacidad de recopilar identificadores únicos de dispositivos, que se envían a un servidor remoto, que responde con un enlace a la parte de datos, que luego es descargada, descifrada y lanzada por el troyano Triad. .

La carga útil se puede utilizar para realizar una amplia gama de actividades maliciosas, desde descargar módulos adicionales y mostrar anuncios en pantalla completa, hasta suscribir en secreto a las víctimas a servicios premium e iniciar sesión en cuentas de WhatsApp en el dispositivo. Peor aún, los atacantes pueden secuestrar y tomar el control de las cuentas de WhatsApp para llevar a cabo ataques de ingeniería social o distribuir mensajes de spam, propagando así el malware a otros dispositivos.

«Vale la pena señalar que los usuarios de FMWhatsapp otorgan permiso a la aplicación para leer sus mensajes SMS, lo que significa que el caballo de Troya y cualquier otro módulo malicioso que cargue también tendrán acceso a ellos», dijeron los investigadores. «Esto permite a los atacantes inscribir automáticamente a la víctima en una suscripción premium, incluso si se requiere un código de confirmación para completar el proceso».