Fecha de Publicación: Lunes, 12 de Abril de 2021
Fuente: https://unaaldia.hispasec.com/2021/04/hackean-los-servidores-de-actualizacion-de-los-telefonos-gigaset-para-distribuir-malware.html
10 abril, 2021 Por Alberto Segura
En los últimos días se ha descubierto malware en los teléfonos Android de la marca Gigaset, que se instalaba utilizando los servidores de actualización de la marca.
Desde el pasado 27 de Marzo, varios usuarios de smartphones de la marca Gigaset comenzaron a quejarse de varias aplicaciones maliciosas que aparecían instaladas en sus dispositivos sin su consentimiento, la mayor parte de ellos son de origen alemán.
La aplicación maliciosa instalada utilizaba como nombre ‘easenf’, aunque también se han detectado casos en los que utilizaba los nombres ‘gem’, ‘smart’, y ‘xiaoan’. Uno de los mayores problemas de este malware era su desinstalación, ya que tan pronto como las víctimas la desinstalaban, ésta volvía a aparecer instalada en el dispositivo.
Los usuarios han subido varias de las muestras a VirusTotal, donde buena parte de los antivirus las detectan como aplicaciones adware, es decir, malware cuyo principal objetivo es mostrar anuncios a los usuarios. Aunque estas aplicaciones, además de mostrar anuncios a las víctimas, también instalan otras aplicaciones maliciosas y utilizarán la cuenta de WhatsApp de la víctima para propargarse envíando mensajes a los contactos.
Una de las muestras subida a VirusTotal
Tras las quejas de los usuarios, Gigaset investigó el caso y ha confirmado que uno de sus servidores de actualizaciones ha sido comprometido, lo que ha permitido a los atacantes el acceso al mismo para, finalmente, distribuir las aplicaciones maliciosas como si se tratasen de actualizaciones. Por este motivo el malware volvía a aparecer en el sistema después de que las víctimas lo eliminasen.
Imagen del malware instalado solicitando permisos para realizar llamadas. Fuente: Foro de MalwareBytes
Según la compañía, se han visto afectados modelos antiguos, principalmente dispositivos para los que el usuario no ha actualizado recientemente. También han confirmado que desde el pasado 7 de Abril han recuperado el control completo del servidor afectado, por lo que éste ha dejado de distribuir el malware desde entonces. Se recomienda comprobar si se encuentra instalada alguna de las siguientes aplicaciones y eliminarla en caso afirmativo:
- Gem
- Smart
- Xiaoan
- asenf
- Tayase
- com.yhn4621.ujm0317
- com.wagd.smarter
- com.wagd.xiaoan
Más información:
