{"id":6782,"date":"2016-03-03T08:51:57","date_gmt":"2016-03-03T08:51:57","guid":{"rendered":"https:\/\/latam.kaspersky.com\/blog\/?p=6782"},"modified":"2019-11-22T03:01:42","modified_gmt":"2019-11-22T09:01:42","slug":"triada-trojan","status":"publish","type":"post","link":"https:\/\/latam.kaspersky.com\/blog\/triada-trojan\/6782\/","title":{"rendered":"Triada: crimen organizado en Android"},"content":{"rendered":"<p>Sabes c\u00f3mo funcionan los ej\u00e9rcitos, \u00bfverdad? Primero entran las tropas de reconocimiento para asegurarse de que todo est\u00e9 tranquilo y luego llega la infanter\u00eda pesada. Bueno, por lo menos, esto es lo que pasaba antes de que llegaran las ciberguerras. Pero resulta que los troyanos act\u00faan m\u00e1s o menos de la misma manera.<\/p>\n<p>Hay una gran variedad de peque\u00f1os troyanos para dispositivos Android que pueden obtener los permisos de acceso o, en otras palabras, los permisos de<em> root<\/em>. Nuestros analistas de <em>malware<\/em>, Nikita Buchka y Mikhail Kuzin, podr\u00edan nombrar f\u00e1cilmente al menos 11 familias de troyanos de este tipo. La mayor\u00eda de ellos son casi inofensivos, hasta ahora todo lo que hac\u00edan era introducir miles de anuncios y descargar otros troyanos del mismo estilo. Si quieres saber m\u00e1s sobre este tema, nuestros investigadores han publicado un interesante <a href=\"https:\/\/www.google.com\/url?q=https%3A%2F%2Fsecurelist.lat%2Fanalysis%2Fpublicaciones%2F82731%2Fattack-on-zygote-a-new-twist-in-the-evolution-of-mobile-threats%2F&amp;sa=D&amp;sntz=1&amp;usg=AFQjCNEnn1v-NuuAVTqQb8b2CJ4TiKcg8g\" target=\"_blank\" rel=\"noopener nofollow\">art\u00edculo en Securelist<\/a>.<\/p>\n<p>Siguiendo con la analog\u00eda militar, estas ser\u00edan las tropas de reconocimiento. Como ya habr\u00e1s notado, los accesos <em>root<\/em> otorgan a los troyanos la posibilidad de descargar e instalar aplicaciones; por eso, en el momento en que uno entra en el sistema, es solo cuesti\u00f3n de minutos que lleguen los dem\u00e1s. Ya predijeron nuestros investigadores que estos peque\u00f1os troyanos ser\u00edan utilizados para descargar <em>malware<\/em> m\u00e1s peligroso y da\u00f1ino para los dispositivos infectados.<\/p>\n<blockquote class=\"twitter-tweet\" data-width=\"500\" data-dnt=\"true\">\n<p lang=\"en\" dir=\"ltr\">Dangerous trends taking root in <a href=\"https:\/\/twitter.com\/hashtag\/mobile?src=hash&amp;ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">#mobile<\/a> phones <a href=\"https:\/\/t.co\/DkLD8KhSuk\" target=\"_blank\" rel=\"noopener nofollow\">https:\/\/t.co\/DkLD8KhSuk<\/a> <a href=\"https:\/\/twitter.com\/hashtag\/research?src=hash&amp;ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">#research<\/a> <a href=\"http:\/\/t.co\/wc3NfSSv3Z\" target=\"_blank\" rel=\"noopener nofollow\">pic.twitter.com\/wc3NfSSv3Z<\/a><\/p>\n<p>\u2014 Securelist (@Securelist) <a href=\"https:\/\/twitter.com\/Securelist\/status\/636925849455996928?ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">August 27, 2015<\/a><\/p><\/blockquote>\n<p><script async src=\"https:\/\/platform.twitter.com\/widgets.js\" charset=\"utf-8\"><\/script><\/p>\n<p>Y es justo lo que ha ocurrido hace poco. Los peque\u00f1os troyanos como Leech, Ztorg y Gopro ahora descargan uno de los troyanos m\u00e1s avanzados que nuestros analistas de <em>malware<\/em> han encontrado nunca: el llamado Triada.<\/p>\n<p>Triada es un troyano modular para celulares que utiliza los accesos <em>root <\/em>para sustituir archivos de sistema; se encuentra sobre todo en la memoria <a href=\"https:\/\/es.wikipedia.org\/wiki\/Memoria_de_acceso_aleatorio\" target=\"_blank\" rel=\"noopener nofollow\">RAM<\/a>, por eso es tan dif\u00edcil de detectar.<\/p>\n<p><strong>Los obscuros m\u00e9todos de Triada<\/strong><\/p>\n<p>Tras ser descargado e instalado, el troyano Triada primero intenta recopilar informaci\u00f3n acerca del sistema, como el modelo del dispositivo, la versi\u00f3n del sistema operativo, el tama\u00f1o de la tarjeta SD, las aplicaciones instaladas, etc. Luego env\u00eda toda esta informaci\u00f3n al servidor de mando y control (C&amp;C). Hemos detectado un total de 17 servidores C&amp;C en 4 dominios diferentes, una actitud bastante redundante por parte de los cibercriminales.<\/p>\n<p>El servidor C&amp;C responde con un archivo de configuraci\u00f3n que contiene el n\u00famero personal de identificaci\u00f3n del dispositivo, adem\u00e1s de otras configuraciones, como, por ejemplo, el intervalo de contacto con el servidor, la lista de m\u00f3dulos para instalar, etc. Despu\u00e9s de ser instalados, los m\u00f3dulos pasan a la memoria a corto plazo y se borran de la memoria de almacenamiento del dispositivo, para que sea m\u00e1s dif\u00edcil detectar el troyano.<\/p>\n<p>Existen otras dos razones por las que resulta tan complicado encontrar a Triada y que impresionaron mucho a nuestros investigadores. En primer lugar, Triada modifica el <a href=\"https:\/\/anatomyofandroid.com\/2013\/10\/15\/zygote\/\" target=\"_blank\" rel=\"noopener nofollow\">proceso Zygote<\/a> del sistema operativo Android, utilizado como plantilla para cualquier aplicaci\u00f3n. Esto significa que, una vez que el troyano entra en Zygote, este empieza a formar parte de literalmente todas las aplicaciones iniciadas en el dispositivo.<\/p>\n<p><img decoding=\"async\" class=\"aligncenter size-full wp-image-7888\" src=\"https:\/\/media.kasperskydaily.com\/wp-content\/uploads\/sites\/87\/2016\/03\/05195215\/zygote_sp_2-768x1000.png\" alt=\"zygote android\" width=\"768\" height=\"1000\"><\/p>\n<p>En segundo lugar, Triada sustituye las funciones del sistema y oculta sus m\u00f3dulos de la lista de procesos en ejecuci\u00f3n y de las aplicaciones instaladas. Por lo tanto, el sistema no detecta procesos an\u00f3malos y no env\u00eda ninguna se\u00f1al de alerta.<\/p>\n<p>Triada no solo modifica estas funcionalidades. Nuestros investigadores descubrieron que tambi\u00e9n se entromete en la bandeja de salida de los SMS y filtra los mensajes de la bandeja de entrada. As\u00ed es como los cibercriminales decidieron ganar dinero con el troyano.<\/p>\n<blockquote class=\"twitter-tweet\" data-width=\"500\" data-dnt=\"true\">\n<p lang=\"es\" dir=\"ltr\"><a href=\"https:\/\/twitter.com\/hashtag\/PODEC?src=hash&amp;ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">#PODEC<\/a>: el primer troyano para <a href=\"https:\/\/twitter.com\/hashtag\/Android?src=hash&amp;ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">#Android<\/a> capaz de hacerse pasar por humano y enga\u00f1ar a CAPTCHA <a href=\"http:\/\/t.co\/CX3Z9XND61\" target=\"_blank\" rel=\"noopener nofollow\">http:\/\/t.co\/CX3Z9XND61<\/a> <a href=\"http:\/\/t.co\/2nxxKrWidJ\" target=\"_blank\" rel=\"noopener nofollow\">pic.twitter.com\/2nxxKrWidJ<\/a><\/p>\n<p>\u2014 Kaspersky Espa\u00f1a (@KasperskyES) <a href=\"https:\/\/twitter.com\/KasperskyES\/status\/589838428113633280?ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">April 19, 2015<\/a><\/p><\/blockquote>\n<p><script async src=\"https:\/\/platform.twitter.com\/widgets.js\" charset=\"utf-8\"><\/script><\/p>\n<p>Algunas aplicaciones dependen de los SMS para realizar las compras, de hecho, los datos de las transacciones se transmiten a trav\u00e9s de los mensajes de texto. La raz\u00f3n principal por la que los desarrolladores prefieren los SMS a los m\u00e9todos de pago tradicionales online es que con los SMS no hace falta conexi\u00f3n a Internet. Los usuarios no visualizan estos SMS porque se gestionan, no a trav\u00e9s de la compa\u00f1\u00eda que proporciona el servicio de SMS, sino por la aplicaci\u00f3n que inicia la transacci\u00f3n, por ejemplo, un juego gratuito.<\/p>\n<p>El sistema de Triada modifica estos mensajes, por lo que el dinero no llega a los desarrolladores de la aplicaci\u00f3n, sino a los cibercriminales. Triada roba el dinero tanto a los usuarios (que no consiguen adquirir lo que desean) como a los desarrolladores de la app (en caso de que el usuario haya completado el proceso de compra).<\/p>\n<p>De momento, as\u00ed es como los cibercriminales se benefician con el uso de Triada, pero no olvidemos que se trata de un troyano modular, por lo que se podr\u00eda transformar en cualquier cosa al recibir una orden del servidor C&amp;C.<\/p>\n<blockquote class=\"twitter-tweet\" data-width=\"500\" data-dnt=\"true\">\n<p lang=\"es\" dir=\"ltr\">El <a href=\"https:\/\/twitter.com\/hashtag\/troyano?src=hash&amp;ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">#troyano<\/a> <a href=\"https:\/\/twitter.com\/hashtag\/Asacub?src=hash&amp;ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">#Asacub<\/a> infecta el dispositivo <a href=\"https:\/\/twitter.com\/hashtag\/Android?src=hash&amp;ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">#Android<\/a> y obtiene el CONTROL TOTAL del sistema <a href=\"https:\/\/t.co\/qMIf4lzC4M\" target=\"_blank\" rel=\"noopener nofollow\">https:\/\/t.co\/qMIf4lzC4M<\/a> <a href=\"https:\/\/t.co\/0GSgomkJqY\" target=\"_blank\" rel=\"noopener nofollow\">pic.twitter.com\/0GSgomkJqY<\/a><\/p>\n<p>\u2014 Kaspersky Espa\u00f1a (@KasperskyES) <a href=\"https:\/\/twitter.com\/KasperskyES\/status\/690444104522686464?ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">January 22, 2016<\/a><\/p><\/blockquote>\n<p><script async src=\"https:\/\/platform.twitter.com\/widgets.js\" charset=\"utf-8\"><\/script><\/p>\n<p><strong>La lucha contra el crimen organizado en tu celular<\/strong><\/p>\n<p>Uno de los problemas principales es que Triada puede da\u00f1ar a MUCH\u00cdSIMOS usuarios. Como ya dijimos anteriormente, Triada se descarga a trav\u00e9s de troyanos m\u00e1s peque\u00f1os que consiguen privilegios de acceso. Nuestros investigadores calculan que, durante la segunda mitad del 2015, cada 10 segundos un troyano atac\u00f3 a un usuario de Android; en consecuencia, existe una alta probabilidad de que millones de dispositivos puedan estar infectados por Triada.<\/p>\n<p>Entonces, \u00bfqu\u00e9 puedes hacer para protegerte?<\/p>\n<p>1. No te olvides de actualizar el sistema. Resulta que los troyanos m\u00e1s peque\u00f1os tienen muchos problemas a la hora de obtener los accesos <em>root<\/em> de las versiones Android 4.4.4. en adelante, ya que, a partir de esta, se han parcheado muchas vulnerabilidades. Si tienes instalada la versi\u00f3n Android 4.4.4 u otras m\u00e1s recientes, se reduce mucho la posibilidad de que tu dispositivo sea infectado por Triada. Nuestras estad\u00edsticas revelan que alrededor del 60% de los usuarios Android sigue utilizando la versi\u00f3n 4.4.2 de Android o incluso versiones anteriores.<\/p>\n<p>\u00a0<\/p>\n<p>\u00a0<\/p>\n<p><img decoding=\"async\" class=\"alignnone size-full wp-image-7644\" src=\"https:\/\/media.kasperskydaily.com\/wp-content\/uploads\/sites\/87\/2016\/03\/05195215\/01_it.png\" alt=\"01_it\" width=\"1196\" height=\"934\"><\/p>\n<p>2. Lo mejor es no correr ning\u00fan riesgo, independientemente de la versi\u00f3n del sistema operativo que utilices. Por eso recomendamos la instalaci\u00f3n de una soluci\u00f3n antivirus en tu dispositivo Android. <a href=\"http:\/\/app.appsflyer.com\/com.kms.free?pid=smm&amp;c=kd-sp\" target=\"_blank\" rel=\"noopener noreferrer nofollow\">Kaspersky Internet Security para Android<\/a> detecta los tres m\u00f3dulos de Triada, as\u00ed tu dinero estar\u00e1 a salvo de los cibercriminales. No olvides que en la versi\u00f3n gratuita, el an\u00e1lisis no arranca autom\u00e1ticamente.<\/p>\n<p>Triada es otro ejemplo que refleja una tendencia realmente negativa: los desarrolladores de <em>malware<\/em> se est\u00e1n tomando muy en serio el tema de Android, y los \u00faltimos ejemplares para esta plataforma son tan complejos y dif\u00edciles de eliminar como los desarrollados para Windows. Una buena forma de luchar contra estas amenazas es tener una actitud proactiva y, naturalmente, utilizar una buena soluci\u00f3n de seguridad.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Triada es un troyano modular para dispositivos m\u00f3viles que utiliza los permisos root para reemplazar archivos de sistema; adem\u00e1s, utiliza otros trucos para que resulte pr\u00e1cticamente invisible. <\/p>\n","protected":false},"author":696,"featured_media":6783,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[3145,6,2737],"tags":[2163,34,2408,1262,2407],"class_list":{"0":"post-6782","1":"post","2":"type-post","3":"status-publish","4":"format-standard","5":"has-post-thumbnail","7":"category-threats","8":"category-news","9":"category-privacy","10":"tag-android","11":"tag-malware-2","12":"tag-triada","13":"tag-troyanos","14":"tag-troyanos-sms"},"hreflang":[{"hreflang":"es-mx","url":"https:\/\/latam.kaspersky.com\/blog\/triada-trojan\/6782\/"},{"hreflang":"en-us","url":"https:\/\/usa.kaspersky.com\/blog\/triada-trojan\/6802\/"},{"hreflang":"en-gb","url":"https:\/\/www.kaspersky.co.uk\/blog\/triada-trojan\/6858\/"},{"hreflang":"es","url":"https:\/\/www.kaspersky.es\/blog\/triada-trojan\/7884\/"},{"hreflang":"it","url":"https:\/\/www.kaspersky.it\/blog\/triada-trojan\/7640\/"},{"hreflang":"ru","url":"https:\/\/www.kaspersky.ru\/blog\/triada-trojan\/11102\/"},{"hreflang":"x-default","url":"https:\/\/www.kaspersky.com\/blog\/triada-trojan\/11481\/"},{"hreflang":"pt-br","url":"https:\/\/www.kaspersky.com.br\/blog\/triada-trojan\/6083\/"},{"hreflang":"ja","url":"https:\/\/blog.kaspersky.co.jp\/triada-trojan\/10644\/"},{"hreflang":"ru-kz","url":"https:\/\/blog.kaspersky.kz\/triada-trojan\/11102\/"},{"hreflang":"en-au","url":"https:\/\/www.kaspersky.com.au\/blog\/triada-trojan\/11481\/"},{"hreflang":"en-za","url":"https:\/\/www.kaspersky.co.za\/blog\/triada-trojan\/11481\/"}],"acf":[],"banners":"","maintag":{"url":"https:\/\/latam.kaspersky.com\/blog\/tag\/android\/","name":"Android"},"_links":{"self":[{"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/posts\/6782","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/users\/696"}],"replies":[{"embeddable":true,"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/comments?post=6782"}],"version-history":[{"count":2,"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/posts\/6782\/revisions"}],"predecessor-version":[{"id":16107,"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/posts\/6782\/revisions\/16107"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/media\/6783"}],"wp:attachment":[{"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/media?parent=6782"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/categories?post=6782"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/tags?post=6782"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}