Muestras de Loapi falseando aplicaciones legítimas. Fuente: https://securelist.com

Mediante campañas de mensajes SMS, publicidad y otras técnicas de spam el virus consiguió distribuirse entre un gran número de víctimas.

Características

La arquitectura modular de este malware hace que sea muy versátil y permita realizar todo tipo de acciones fraudulentas:

• Minar cripto-monedas.
• Mostrar publicidad.
• Enviar/Recibir SMS.
• Lanzar ataques DDoS.
• Navegar por la web, y suscribir a la víctima a servicios de pago.

Proceso de infección

Tras instalar la aplicación fraudulenta el malware trata de escalar permisos en el dispositivo, pidiendo permisos de administrador en bucle hasta que el usuario los acepta. Posteriormente, ‘Trojan.AndroidOS.Loapi’, comprueba si el dispositivo está ‘rooteado’ (aunque esta versión no hace uso en ningún momento de estos privilegios).

Después de obtener los permisos necesarios se esconde en el sistema, bien ocultando el icono en el menú o simulando ser una aplicación de antivirus como la que vemos a continuación:

Capturas de la aplicación fraudulenta. Fuente: https://securelist.com

El troyano además implementa mecanismos para protegerse y evitar ser desinstalado: puede actualizar de forma remota una lista negra de aplicaciones que podrían suponer una amenaza y engañar al usuario para que sean desinstaladas. Además de cerrar la ventana de ajustes para evitar que el usuario pueda revocar los permisos.

Mensaje fraudulento para desinstalar un AV legítimo. Fuente: https://securelist.com

Entre las diferentes acciones que se pueden llevar a cabo con este malware, cabe destacar la opción de minado de cripto-monedas, que podría dejar nuestro dispositivo Android inutilizado debido al uso tan intensivo de CPU.

Estado de la batería tras 48h de funcionamiento. Fuente: https://securelist.com

Para evitar este tipo de amenazas se recomienda siempre instalar las aplicaciones del repositorio oficial de Google Play.