A través de un comunicado, la empresa rusa Kaspersky Lab ha resaltado el comportamiento "bastante extraño" de este 'malware', que cuenta con una "gran variedad" de módulos que le permiten una combinación "casi infinita" de opciones maliciosas, desde la minería de criptomonedas hasta ataques DDoS. Además, gracias a su arquitectura modular compleja, todavía se pueden añadir nuevas funciones, ha alertado Kaspersky.
El troyano 'Loapi' se está difundiendo a través de campañas publicitarias bajo la apariencia de soluciones antivirus o de aplicaciones para adultos. Una vez instaladas, las 'apps' solicitan derechos de administrador del dispositivo y luego, discretamente, inician la comunicación con los servidores de comando y control (C&C) para instalar módulos adicionales.
Según ha podido verificar Kaspersky Lab, la arquitectura de 'Loapi' está formada por un módulo de 'adware' para visualizar publicidad en el dispositivo del usuario; un módulo SMS que oculta los mensajes de texto que recibe el usuario y responde según sea necesario, eliminando luego cualquier evidencia que pueda existir; un módulo de rastreador web para suscribir a los usuarios a servicios de pago sin que ellos lo sepan; un módulo 'proxy' que permite que los ciberdelincuentes hagan peticiones HTTP en nombre del dispositivo y que se pueden utilizar para ataques DDoS, y un módulo minero de divisas para minar la moneda virtual Monero (XMR).
Además de este importante número de herramientas, 'Loapi' es capaz de autoprotegerse, ha explicado Kaspersky. Cuando el usuario intenta revocar los derechos de administrador del dispositivo, el 'malware' bloquea la pantalla y cierra la ventana.
Junto con esta técnica, el troyano puede recibir desde los servidores de comando una lista de las aplicaciones y soluciones antivirus que intentan eliminarlo. De esta forma, si una aplicación instalada en el dispositivo o en ejecución está en esta lista, 'Loapi' muestra al usuario un mensaje falso diciéndole que se ha encontrado un 'software' malicioso y le ofrece la posibilidad de eliminar la aplicación. El aviso se muestra en bucle, de forma que si el usuario se niega a eliminar la aplicación, aparece una y otra vez hasta que este finalmente cede y acepta.
Además, las pruebas realizadas por Kaspersky Lab en un teléfono móvil escogido al azar han demostrado que el 'malware' crea una carga de trabajo "tan alta" que hace que la batería alcance elevadas temperaturas "que pueden llegar incluso a deformarla". La compañía rusa ha comentado que "no parece" que los ciberdelincuentes tuvieran este objetivo, ya que su interés principal es que el 'software' esté en funcionamiento para permitirles hacerse con la mayor cantidad de dinero posible. Pero su falta de atención a la optimización ha llevado a que pueda producir "daños importantes" en los dispositivos.
El experto de seguridad de Kaspersky Lab Nikita Buchka ha indicado que 'Loapi' es un representante "muy curioso" del mundo del 'malware' de Android, ya que sus autores han incorporado a su diseño "prácticamente casi todas las prestaciones posibles". El representante de la empresa ha comentado que es "mucho más fácil" comprometer un dispositivo una vez y luego usarlo para diferentes actividades maliciosas, con el objetivo de hacerse ilegalmente con la mayor cantidad posible de dinero.
