Protéjase del malware para Android Herodotus, que simula la escritura para evitar ser detectado.

La aparición de Herodotus, un malware para Android recientemente identificado, ha generado gran preocupación en el ámbito de la ciberseguridad. Este malware opera bajo el modelo de malware como servicio (MaaS), lo que permite a los ciberdelincuentes desarrollarlo e implementarlo con relativa facilidad. Mediante estrategias engañosas, Herodotus puede confundir a los usuarios y eludir diversas medidas de seguridad, lo que supone una grave amenaza para la integridad de los dispositivos. En este artículo, analizaremos en detalle el funcionamiento de Herodotus, cómo se infiltra en los dispositivos y los pasos cruciales para proteger su vida digital.

Comprender cómo funciona Herodoto

Herodotus es un malware único que integra características del infame Brokewell, a la vez que introduce sus propias técnicas sofisticadas. Sus métodos de distribución incluyen principalmente ataques SMiShing y páginas web maliciosas que incitan a los usuarios a instalar la aplicación mediante archivos externos.

Tras su instalación, el malware solicita a los usuarios que habiliten el Servicio de Accesibilidad, redirigiéndolos directamente a la configuración de su dispositivo. Esta superposición permite a Herodotus ejecutar sus tareas maliciosas, centradas principalmente en el vaciado de cuentas bancarias.

Tras su activación, recibe comandos personalizados para abrir aplicaciones específicas, interceptar mensajes SMS de autenticación de dos factores (2FA), rellenar formularios automáticamente y manipular la entrada del dispositivo mediante toques y gestos.

Sorprendentemente, Herodotus imita la escritura humana natural introduciendo retrasos aleatorios de entre 0, 3 y 3 segundos al escribir texto. Esta táctica le permite evadir la detección por parte de los mecanismos de monitorización del comportamiento que muchas aplicaciones implementan, lo que dificulta que las soluciones de seguridad estándar identifiquen la amenaza. Al estar disponible como servicio MaaS, múltiples usuarios pueden acceder a él y utilizarlo, y ya se han reportado siete casos distintos de Herodotus en acción.

Prevención de infecciones por Heródoto

La primera línea de defensa contra el malware Herodotus es la información y la precaución. Como troyano bancario, se hace pasar por aplicaciones legítimas para engañar a los usuarios y que lo descarguen. Tenga mucho cuidado con los enlaces que reciba por SMS o con las ventanas emergentes inesperadas del navegador que le pidan instalar aplicaciones, aunque se trate de supuestas actualizaciones de seguridad u otras aplicaciones esenciales.

Las fuentes legítimas no te pedirán que instales aplicaciones de forma manual, ya que las actualizaciones normalmente no lo requieren. Descarga siempre las aplicaciones de Google Play Store u otros repositorios de confianza, sobre todo si la solicitud parece no solicitada o inusual.

Una solicitud para activar el Servicio de Accesibilidad debería generar alarmas de inmediato. Otorgar este permiso permite que el malware observe y manipule el contenido de la pantalla, lo que da a los hackers la capacidad de tomar el control de tu dispositivo.

Además, asegúrate de que Google Play Protect esté activado en la tienda, ya que esta función identifica y desactiva automáticamente las aplicaciones dañinas. Para comprobar su estado, ve a Play Store, haz clic en Play Protect en el menú principal y confirma que está activado.

Página de escaneo de Google Play Protect

Identificación de los signos de la infección de Heródoto

Debido a sus elevados privilegios de acceso y su capacidad para interrumpir el seguimiento del comportamiento, detectar a Herodotus puede resultar complicado para el software de seguridad promedio. Si sospecha que su dispositivo Android puede estar comprometido, preste atención a las siguientes señales de alerta:

Si aparece un mensaje sospechoso a pantalla completa que le insta a esperar, especialmente al iniciar aplicaciones sensibles como las bancarias, podría indicar actividad de malware.
Aplicaciones desconocidas con permisos de accesibilidad: Los permisos de acceso solo deben otorgarse a aplicaciones de confianza. Comprueba Ajustes → Accesibilidad → Aplicaciones descargadas para ver si hay entradas desconocidas.

Configuración de accesibilidad en Android

Actividad de SMS inesperada: Si comienza a recibir mensajes SMS de 2FA que no reconoce, o si se multiplican inesperadamente, es posible que su dispositivo haya sido comprometido por Herodotus.
Mayor uso de recursos: Este malware ejecuta numerosos procesos en segundo plano que pueden provocar un consumo excesivo de batería o un rendimiento lento. Revise Ajustes → Batería para identificar aplicaciones desconocidas que consuman demasiada energía.

Gráfico de consumo de batería que muestra el consumo de las aplicaciones

Pasos a seguir si su dispositivo está infectado

Si confirma que su dispositivo está infectado con Herodotus, active inmediatamente el modo avión y siga estos pasos esenciales:

Desinstala la aplicación maliciosa.

Su prioridad debe ser eliminar el malware. Debido a sus elevados permisos, los procesos de desinstalación tradicionales podrían no ser suficientes. Si tiene dificultades para desinstalarlo, revise la configuración de Accesibilidad para revocar sus permisos.

Además, ve a Ajustes → Protección de privacidad → Permisos especiales para asegurarte de que el malware no tenga privilegios de administrador del dispositivo ni de mostrar la imagen por encima de otras aplicaciones. Iniciar el dispositivo en modo seguro de Android también puede facilitar la eliminación.

Lista de permisos especiales en la configuración de Android

Proteja sus cuentas en línea

Desde un dispositivo seguro, cambie inmediatamente las contraseñas de todas las cuentas a las que haya accedido desde el dispositivo comprometido, especialmente las bancarias. Siempre que sea posible, utilice una aplicación de autenticación de dos factores (2FA) y cierre las sesiones activas desde la configuración de seguridad de sus servicios en línea. Si detecta transacciones no autorizadas, informe a su entidad financiera de inmediato.

Realice un análisis de seguridad completo.

Tras desinstalar la aplicación dañina, es fundamental realizar un análisis de seguridad para eliminar cualquier rastro de malware. Para empezar, accede a Play Protect en Google Play Store, como ya se mencionó, para realizar un análisis. Posteriormente, considera descargar una aplicación antivirus de confianza, como Avast Antivirus & Security, para realizar un análisis completo del sistema.

Para una mayor protección contra Heródoto, realizar copias de seguridad de tus datos esenciales y restablecer la configuración de fábrica pueden ser medidas prudentes.

La prevención de malware como Herodotus depende en gran medida de obtener las aplicaciones exclusivamente de Google Play Store y evitar la instalación de aplicaciones externas. Sin embargo, incluso las aplicaciones de fuentes confiables pueden verse comprometidas, por lo que habilitar todas las funciones de seguridad de Android disponibles es crucial para una protección óptima.

Fuentes e imágenes