El troyano Xafecopy es un software malicioso que ataca al sistema operativo Android , identificado por primera vez en septiembre de 2017 por el proveedor de ciberseguridad y antivirus Kaspersky Lab . Según Kaspersky Lab, Xafecopy infectó al menos a 4.800 usuarios en un mes en aproximadamente 47 países. [1] Los usuarios de la India fueron sus principales víctimas, seguidos de los usuarios de Rusia, Turquía y México. [2] [3] [4]
Kaspersky descubrió por primera vez Xafecopy en 2017, cuando infectó miles de dispositivos Android en la India. Se informó que el malware estaba integrado en una variedad de aplicaciones, más comúnmente en optimizadores de batería. El código malicioso se descarga en el dispositivo sin el conocimiento o consentimiento del usuario. [5] La aplicación hace clic en páginas web que utilizan el método de facturación del Protocolo de aplicaciones inalámbricas (WAP), y Xafecopy suscribe el teléfono a una serie de servicios que cobran dinero directamente a la factura del teléfono móvil del usuario. La tecnología también puede eludir los sistemas Captcha . [2] [6]
Se ha descubierto que Xafecopy utiliza nombres de archivos JavaScript que fueron utilizados anteriormente por el infame troyano Ztorg, lo que desencadenó especulaciones sobre la posibilidad de que haya intercambio de códigos entre bandas de delincuentes cibernéticos. [7] [8]
Xafecopy se disfraza como una aplicación útil, a menudo un optimizador de batería. [9] Funciona haciendo clic en páginas web con sistema de facturación WAP, que es una forma de sistema de pago móvil que se carga directamente a la factura del móvil. El malware funciona en dispositivos Android habilitados para WAP a través de una conexión inalámbrica GPRS o 3G y se basa en la familia Ubsod. Fue detectado por Kaspersky Lab como Trojan-Clicker-AndroidOS.Xafekopy. Xafecopy recibe las direcciones URL de facturación WAP de las páginas web a través de un servidor de comando y control. Una vez que el dispositivo recibe la dirección URL, hace clic en los enlaces de facturación WAP, lo que inicia una sesión WAP con el servidor, que luego obtiene el MSISDN del usuario y carga directamente a la factura del operador móvil del usuario y se suscribe a servicios pagos no deseados. [10] [2] [11]
Xafecopy parece utilizar tecnología que evita los sistemas captcha . [2] Según Kaspersky Lab, comparte un código importante obtenido de otro malware importante. [12]
También se identificaron versiones modificadas de Xafecopy que tienen la capacidad de enviar SMS desde el dispositivo a números de teléfono de tarifa premium, eliminar SMS entrantes del proveedor de red móvil y ocultar alertas sobre deducción de saldo leyendo los mensajes entrantes y verificando palabras como "suscripción". [10]
También es capaz de cambiar a un usuario de una conexión WiFi a datos móviles, ya que la facturación WAP solo funciona cuando el usuario está conectado a una conexión móvil. [10]