Investigadores de Eset han descubierto la primera botnet para Android controlada a través de Twitter.Android/Twitoor se trata de la primera app maliciosa que usa Twitter en vez del tradicional servidor de mando y control (C&C) para recibir instrucciones.
Es un backdoor capaz de descargar malware en los dispositivos infectados y está activo desde hace aproximadamente un mes. Esta app maliciosa no puede ser hallada en ninguna tienda oficial de Android; y según las investigaciones de la compañía de seguridad lo más probable es que su método de propagación sea SMS o URL maliciosas. Lo que Lukáš Štefanko, el investigador de Eset que ha descubierto la botnet, ha dado a conocer es que se hace pasar por aplicaciones MMSpara reproducir contenido pornográfico.
Después de ejecutarse, el troyano oculta su presencia al sistema y verifica la cuenta de Twitter definida en su código a la espera de recibir órdenes. En función de las instrucciones que recibe puede tanto descargar apps maliciosas como cambiar la cuenta C&C de Twitter a otro usuario.
“El uso de Twitter para controlar una botnet es algo novedoso para la plataforma Android”, explica Štefanko, investigador de Eset que ha encontrado la app maliciosa y que señala que los canales de comunicación basados en redes sociales son difíciles de descubrir e imposibles de bloquear en su totalidad. Sin embargo, resultan muy útiles para los ciberdelincuentes a la hora de redireccionar comunicaciones a otra cuenta.
Twitter se utilizó como medio de control de botnets en sistemas Windows por primera vez en2009. “Pero para el ecosistema Android, este tipo de técnicas de ocultación no se habían descubierto hasta ahora. Esto nos hace pensar que próximamente podríamos encontrarnos con ejemplos en los que los ciberdelincuentes usaran otras redes sociales como Facebook o Linkedin para controlar sus amenazas”, advierte Štefanko.
Android/Twitoor ha estado activo desde el pasado mes de julio y, según Štefanko, no se puede encontrar en ninguna tienda oficial de apps de Android, por lo que seguramente se difunde a través de SMS o de URL maliciosas. El troyano se hace pasar por una aplicación de reproducción de contenidos para adultos o por una aplicación MMS pero sin su funcionalidad. En cambio, ha estado descargando diferentes variantes de malware pensados para afectar a las operaciones realizadas con la banca online desde el móvil. Aunque como señala Štefanko, quienes controlan este tipo de botnets pueden empezar a distribuir cualquier otro tipo de malware en cualquier momento, incluyendo ransomware.
“Twitoor es otro ejemplo más de cómo los cibercriminales están innovando en sus actividades delictivas. Los usuarios de internet deberían estar pendientes de proteger su actividad digital con buenas soluciones de seguridad tanto para los ordenadores como para los dispositivos móviles”, concluye Lukáš Štefanko.
