Rotexy
| ||||||||
Rotexy. Es una combinación entre un troyano bancario y un bloqueador ransomware que ha estado infectando, durante agosto y septiembre 2018, se han registraron más de 40.000 intentos de implantación de esta aplicación maliciosa en smartphones Android.
Sumario
Cómo funciona
Rotexy se expande mediante SMS con un texto atractivo que te incita a entrar en un enlace y descargar la aplicación. En algunos casos, estos mensajes se envían desde el número de teléfono de un amigo y esto es lo que termina por convencer a los usuarios que acaban accediendo a los enlaces.
Después de la infección, el troyano se prepara para la siguiente acción. Primero, Rotexy comprueba en qué dispositivo se encuentra para obstaculizar la investigación del antivirus. Si el malware detecta que está en un emulador y no en un smartphone real, ejecuta una y otra vez el proceso de inicialización de la aplicación. En la versión actual de Rotexy, el comportamiento es el mismo si el dispositivo parece estar fuera de Rusia.
Hasta que no se asegura de que el dispositivo cuenta con los criterios básicos, el troyano no comienza a actuar. Primero, solicita derechos de administrador; el usuario puede rechazarlos, pero la solicitud seguirá apareciendo, lo que dificultará el uso del smartphone. Una vez obtenidos los derechos, Rotexy informa que la aplicación falló y oculta el icono.
Acto seguido, el malware contacta con sus propietarios y les aporta toda la información sobre el dispositivo, los cuales responden con instrucciones y una serie de plantillas y textos. Por defecto, Rotexy se comunica directamente con el servidor de mando y control, pero sus creadores han implementado otras formas de enviar órdenes a través de Google Cloud Messaging y SMS.
Rotexy, el ladrón de SMS
En lo que respecta a los SMS, Rotexy nunca tiene suficiente. Cuando un mensaje llega al teléfono infectado, el malware cambia el dispositivo a modo silencioso para que la víctima no se percate de la entrada de un nuevo SMS. Entonces, el troyano intercepta el mensaje, lo compara con las plantillas recibidas del servidor de comando y control y, si contiene información jugosa (por ejemplo, los últimos dígitos del número de una tarjeta en una notificación del banco), lo almacena y lo envía al servidor. Además, el malware puede responder a esos mensajes en nombre del propietario del smartphone; de hecho, también hay plantillas para estos mensajes de respuesta.
Si Rotexy no llegara a recibir plantillas o instrucciones especiales del servidor de control y mando, simplemente se limitaría a guardar toda la correspondencia que reciba el smartphone y se la enviaría a sus creadores.
Además, tras la orden de los cibercriminales, el malware puede enviar un enlace para descargar por sí mismo todos los contactos de la agenda del teléfono, uno de los mayores vectores de propagación del troyano Rotexy.
Rotexy, el troyano bancario
La manipulación SMS no es el único truco que se guarda este malware bajo su manga, de hecho, ni siquiera es el número principal. Básicamente, los creadores consiguen dinero robando información de tarjetas bancarias. Para ello, superpone una página de phishing en la pantalla, e incluye textos de los recibidos en los SMS interceptados. La apariencia de la página puede variar, pero el propósito general es comunicarle al propietario del smartphone que tiene una transferencia en espera y que debe de introducir la información de su tarjeta para recibirla.
Para asegurarse, los desarrolladores del malware incorporan un mecanismo de revisión para validar el número de la tarjeta. Primero, verifica que el número de la tarjeta sea correcto (los dígitos de las tarjetas no son aleatorios, sino que se originan según un criterio). Después, Rotexy extrae los últimos cuatro dígitos de la tarjeta del SMS del banco y los compara con los introducidos en la página phishing. Si no concuerdan, le pide al usuario que introduzca los dígitos correctos.
Rotexy, el ransomware
A veces, Rotexy recibe otras instrucciones del servidor de control y mando. Y, en lugar de mostrar una página phishing, bloquea la pantalla del smartphone con una ventana en la que solicita el pago de una multa por haber “visualizado de forma habitual vídeos ilegales”. Rotexy imita la instalación de una actualización y, después, bloquea la pantalla del smartphone y le comunica al usuario que tiene que pagar una multa por ver vídeos ilegales. Para ello, adjunta una prueba fotográfica, una imagen de un vídeo pornográfico, y se hace pasar por un órgano oficial. En concreto, Rotexy menciona a un supuesto servicio ruso del FSB encargado del control de Internet, pero en Rusia no existe ninguna unidad con ese nombre.
Cómo desbloquear un smartphone infectado con el troyano Rotexy
Tenemos buenas noticias: podemos desbloquear un smartphone infectado y deshacernos del “virus” sin tener que recurrir a un especialista. Como ya hemos mencionado, Rotexy puede recibir órdenes a través de SMS y lo bueno es que no tienen por qué proceder de un número específico, sino que cualquiera puede hacerlo. Por tanto, si tu smartphone está bloqueado y no puedes cerrar la ventana maliciosa, solo debes tomar otro teléfono (de un amigo o familiar, por ejemplo) y seguir nuestras instrucciones:
- Envía un SMS a tu número con el texto “393838”. El malware lo interpretará como una orden para cambiar la dirección del servidor de mando y control; abandonará y dejará de obedecer a los ciberdelincuentes.
- Entonces, envía “3458” a tu número, esto le privará al troyano de los derechos de administrador y cesará el dominio sobre tu dispositivo.
- Por último, envía un SMS a tu teléfono con el mensaje “stop_blocker”. Esta orden obligará a Rotexy a eliminar el sitio o banner que bloquea la pantalla.
- Si el troyano volviera a solicitar derechos de administrador, reinicia el dispositivo en modo seguro, ve a Aplicaciones y notificaciones (puede variar según la versión de Android) y elimina el malware del dispositivo, esta vez sin resistencia.
Las instrucciones para desbloquear un smartphone se basan en el análisis de la versión actual de Rotexy, lo cual puede variar en futuras versiones. Si quieres conocer los aspectos más técnicos de este troyano.
Cómo protegerse contra otros troyanos móviles
Evita la infección, solo debes de seguir unas simples reglas:
- No hagas clic en los enlaces sospechosos de los mensajes. Aunque te genere curiosidad y parezca que el SMS es de un amigo, comprueba primero si realmente fue él quien lo envió.
- No descargues aplicaciones Android fuera de Google Play. Estaría bien que bloquearas la instalación de programas procedentes de fuentes desconocidas desde los ajustes de tu smartphone.
- Utiliza un antivirus móvil de confianza que te protegerá contra el malware aunque entres donde no debes.
