Crecieron las aplicaciones de préstamos maliciosas que engañan y espían a usuarios de Android

Desde principios de 2023, los investigadores de ESET han observado un alarmante crecimiento de aplicaciones engañosas de préstamos para Android, que se presentan como servicios legítimos de préstamos personales, prometiendo un acceso rápido y fácil a los fondos.

A pesar de su apariencia atractiva, estos servicios en realidad están diseñados para estafar a los usuarios ofreciéndoles préstamos con altas tasas de interés respaldados con descripciones engañosas, todo mientras recopilan la información personal y financiera de sus víctimas para chantajearlas y, al final, obtener sus fondos. Por ello, los productos de ESET reconocen estas aplicaciones utilizando el nombre de detección SpyLoan, que hace referencia directa a su funcionalidad de spyware combinada con reclamos de préstamos.

Puntos clave del blogpost:

• Las apps analizadas por los investigadores de ESET solicitan diversa información sensible a sus usuarios y la exfiltran a los servidores de los atacantes.
• Estos datos se utilizan después para acosar y chantajear a los usuarios de estas apps y, según los comentarios de los usuarios, incluso aunque no se haya concedido un préstamo.
• La telemetría de ESET muestra un crecimiento perceptible de estas aplicaciones en tiendas de aplicaciones de terceros no oficiales, Google Play y sitios web desde principios de 2023.
• Las aplicaciones de préstamos maliciosas se centran en prestatarios potenciales del Sudeste Asiático, África y América Latina.
• Todos estos servicios operan únicamente a través de aplicaciones móviles, ya que los atacantes pueden acceder a todos los datos sensibles del usuario que se almacenan en el smartphone, algo que no podrían hacer a través de navegadores.

Información general

ESET es miembro de la App Defense Alliance y socio activo en el programa de mitigación de malware, cuyo objetivo es encontrar rápidamente aplicaciones potencialmente dañinas (PHA) y detenerlas antes de que lleguen a Google Play. 

Todas las aplicaciones SpyLoan que se describen en este artículo y se mencionan en la sección IoC se comercializan a través de redes sociales y mensajes SMS, y se pueden descargar desde sitios web dedicados a estafas y tiendas de aplicaciones de terceros. Todas estas aplicaciones también estaban disponibles en Google Play. Como socio de Google App Defense Alliance, ESET identificó 18 aplicaciones SpyLoan y las denunció a Google, que posteriormente eliminó 17 de ellas de su plataforma. Antes de su eliminación, estas aplicaciones tenían un total de más de 12 millones de descargas en Google Play. La última aplicación identificada por ESET todavía está disponible en Google Play, pero como sus desarrolladores cambiaron sus permisos y funcionalidades, ya no la detectamos como una aplicación SpyLoan.

Es importante tener en cuenta que cada instancia de una aplicación SpyLoan en particular, independientemente de su origen, se comporta de forma idéntica debido a su idéntico código subyacente. En pocas palabras, si los usuarios descargan una aplicación específica, van a experimentar las mismas funciones y se enfrentarán a los mismos riesgos, independientemente de dónde obtuvieron la aplicación. No importa si la descarga procede de un sitio web sospechoso, de una tienda de aplicaciones de terceros o incluso de Google Play: el comportamiento de la aplicación será el mismo en todos los casos.

Ninguno de estos servicios ofrece la opción de solicitar un préstamo utilizando un sitio web, ya que a través de un navegador los extorsionadores no pueden acceder a todos los datos sensibles del usuario que se almacenan en un smartphone y que son necesarios para el chantaje.

En este blogpost, describimos el mecanismo de las aplicaciones SpyLoan y las diversas técnicas engañosas que utilizan para saltarse las políticas de Google Play y engañar y estafar a los usuarios. También compartimos las medidas que pueden tomar las víctimas si han caído en esta estafa y varias recomendaciones sobre cómo distinguir entre las apps de préstamos maliciosas y las legítimas para que los posibles prestatarios puedan protegerse.

Victimología

Según la telemetría de ESET, los ejecutores de estas apps operan principalmente en México, Indonesia, Tailandia, Vietnam, India, Pakistán, Colombia, Perú, Filipinas, Egipto, Kenia, Nigeria y Singapur (ver mapa en la Figura 2). Todos estos países tienen diversas leyes que regulan los préstamos privados, no sólo sus tipos, sino también la transparencia de su comunicación; sin embargo, no sabemos hasta qué punto se aplican con éxito. Creemos que cualquier detección fuera de estos países está relacionada con smartphones que tienen, por diversas razones, acceso a un número de teléfono registrado en uno de estos países.

En el momento de escribir estas líneas, no hemos visto ninguna campaña activa dirigida a países europeos, Estados Unidos o Canadá.

Análisis técnico

Acceso inicial

ESET Research ha rastreado los orígenes del esquema SpyLoan hasta 2020. En ese momento, este tipo de aplicaciones solo presentaban casos aislados que no llamaban la atención de los investigadores; sin embargo, la presencia de aplicaciones de préstamos maliciosas siguió creciendo y, finalmente, comenzamos a detectarlas en Google Play, la App Store de Apple y en sitios web dedicados a estafas. En las figuras 3 y 4 se muestran capturas de pantalla de uno de estos ejemplos. Este enfoque multiplataforma maximizó su alcance y aumentó las posibilidades de participación de los usuarios, aunque estas aplicaciones fueron retiradas posteriormente de las dos tiendas de aplicaciones oficiales.

A principios de 2022, ESET se puso en contacto con Google Play para notificar a la plataforma sobre más de 20 apps de préstamos maliciosas que tenían más de 9 millones de descargas colectivas. Tras nuestra intervención, la compañía eliminó estas apps de su plataforma. La empresa de seguridad Lookout identificó 251 apps Android en Google Play y 35 apps iOS en la App Store de Apple que mostraban un comportamiento depredador. Según Lookout, habían estado en contacto con Google y Apple en relación con las aplicaciones identificadas y en noviembre de 2022 publicaron un blog sobre estas aplicaciones. Google ya había identificado y retirado la mayoría de las aplicaciones de préstamos maliciosas antes de la publicación de la investigación de Lookout, y dos de las aplicaciones identificadas fueron retiradas de Google Play por el desarrollador. En conjunto, estas aplicaciones en Google Play tenían más de 15 millones de descargas; Apple también retiró las aplicaciones identificadas.

Según la telemetría de ESET, las detecciones de SpyLoan comenzaron a aumentar de nuevo en enero de 2023 y desde entonces han seguido creciendo aún más en tiendas de aplicaciones de terceros no oficiales, Google Play y sitios web.

En su resumen de seguridad de 2022, Google describió cómo la compañía mantuvo seguros a los usuarios de Android y Google Play mediante el despliegue de nuevos requisitos para las apps de préstamos personales en varias regiones. Como se ha documentado, en los últimos tres años, la situación ha evolucionado y Google Play ha realizado varios cambios en sus políticas de apps de préstamos personales -con requisitos específicos para cada país en India, Indonesia, Filipinas, Nigeria, Kenia, Pakistán y Tailandia- y ha anulado la publicación de muchas apps de préstamos maliciosas.

Para atraer a las víctimas, los delincuentes promocionan activamente estas aplicaciones maliciosas con mensajes SMS y en redes sociales populares como Twitter, Facebook y YouTube. Aprovechando esta inmensa base de usuarios, los estafadores pretenden atraer a víctimas desprevenidas que necesitan ayuda financiera.

Aunque este esquema no se utiliza en todas las aplicaciones SpyLoan que hemos analizado, otro aspecto alarmante de algunas aplicaciones SpyLoan es la suplantación de proveedores de préstamos y servicios financieros de buena reputación mediante el uso indebido de nombres y marcas de entidades legítimas. Para ayudar a concienciar a las víctimas potenciales, algunos servicios financieros legítimos incluso han advertido sobre las aplicaciones SpyLoan en las redes sociales, como puede verse en la Figura 5.

Conjunto de herramientas

Una vez que el usuario instala una aplicación SpyLoan, se le pide que acepte las condiciones del servicio y que conceda amplios permisos para acceder a datos confidenciales almacenados en el dispositivo. A continuación, la aplicación solicita el registro del usuario, que normalmente se realiza mediante la verificación de la contraseña de un solo uso por SMS para validar el número de teléfono de la víctima.

Estos formularios de registro seleccionan automáticamente el código de país basándose en el código de país del número de teléfono de la víctima, garantizando que sólo las personas con números de teléfono registrados en el país objetivo puedan crear una cuenta, como se ve en la Figura 6.

Una vez verificado el número de teléfono, los usuarios acceden a la función de solicitud de préstamos de la aplicación. Para completar el proceso de solicitud de préstamo, los usuarios se ven obligados a proporcionar una gran cantidad de información personal, incluyendo detalles de dirección, información de contacto, prueba de ingresos, información de la cuenta bancaria, e incluso subir fotos del anverso y reverso de sus documentos de identidad, y un selfie, como se muestra en la Figura 7.

Las aplicaciones SpyLoan suponen una importante amenaza al extraer sigilosamente una amplia gama de información personal de usuarios desprevenidos: estas aplicaciones son capaces de enviar datos confidenciales a sus servidores de mando y control (C&C). Los datos que se suelen filtrar incluyen la lista de cuentas, registros de llamadas, eventos del calendario, información del dispositivo, listas de aplicaciones instaladas, información de la red Wi-Fi local e incluso información sobre los archivos del dispositivo (como metadatos Exif de imágenes sin enviar realmente las fotografías en sí). Además, las listas de contactos, los datos de localización y los mensajes SMS también son vulnerables. Para proteger sus actividades, los delincuentes cifran todos los datos robados antes de transmitirlos al servidor de C&C.

A medida que las aplicaciones SpyLoan evolucionaban, su código malicioso se hacía más sofisticado. En las versiones anteriores, la funcionalidad dañina del malware no estaba oculta ni protegida; sin embargo, las versiones posteriores incorporaron algunas técnicas más avanzadas como la ofuscación de código, las cadenas cifradas y la comunicación cifrada de C&C para ocultar sus actividades maliciosas. Para una comprensión más detallada de estas mejoras, consulte la Figura 8 y la Figura 9.

El 31 de mayo de 2023, comenzaron a aplicarse políticas adicionales a las aplicaciones de préstamo en Google Play, que establecen que dichas aplicaciones tienen prohibido pedir permiso para acceder a datos confidenciales como imágenes, vídeos, contactos, números de teléfono, ubicación y datos de almacenamiento externo. Al parecer, esta política actualizada no tuvo un efecto inmediato en las aplicaciones existentes, ya que la mayoría de las que denunciamos seguían estando disponibles en la plataforma (incluidos sus amplios permisos) después de que la política empezara a aplicarse, como se muestra en la Figura 10. Sin embargo, como ya hemos mencionado, Google aplicó esta política más tarde. Sin embargo, como hemos mencionado, Google anuló posteriormente la publicación de estas aplicaciones.

Consecuencias

Una vez instalada la aplicación y recopilados los datos personales, sus ejecutores empiezan a acosar y chantajear a sus víctimas para que realicen los pagos, incluso si -según las críticas- el usuario no solicitó el préstamo o lo solicitó pero no se lo aprobaron. Tales prácticas se han descrito en las reseñas de estas aplicaciones en Facebook y en Google Play, como se muestra en la Figura 11 (mencionando incluso amenazas de muerte), Figura 12 (traducción automática parcial: ¿Vale la deuda que tienes tu tranquilidad y la de tus seres queridos? ... ¿Realmente quieres poner en riesgo tu seguridad? ... ¿Estás dispuesto a pagar las consecuencias? Puedes meterte en muchos problemas y evitarte una mala experiencia a ti y a los que te rodean), y la Figura 13.

Además de la recolección de datos y el chantaje, estos servicios presentan una forma de usura digital moderna, que se refiere al cobro de tipos de interés excesivos en los préstamos, aprovechándose de personas vulnerables con necesidades financieras urgentes, o de prestatarios que tienen un acceso limitado a las instituciones financieras convencionales. Un usuario criticó negativamente (véase la figura 14) una aplicación de SpyLoan no porque le acosara, sino porque hacía ya cuatro días que había solicitado un préstamo, pero no había pasado nada y necesitaba dinero para medicamentos.

En general, la usura se considera tan poco ética que se condena en diversos textos religiosos y está regulada por leyes para proteger a los prestatarios de esas prácticas depredadoras. Sin embargo, es importante señalar que un contrato de préstamo estándar no se considera usura si el interés se fija a un tipo razonable y sigue las directrices legales.

Razones del rápido crecimiento

Hay varias razones que explican el rápido crecimiento de las aplicaciones SpyLoan. Una de ellas es que los desarrolladores de estas aplicaciones se inspiran en los exitosos servicios FinTech (tecnología financiera), que aprovechan la tecnología para ofrecer servicios financieros ágiles y fáciles de usar. Las aplicaciones y plataformas FinTech son conocidas por alterar el sector financiero tradicional ofreciendo comodidad en términos de accesibilidad, permitiendo a las personas, de una manera fácil de usar, realizar diversas actividades financieras en cualquier momento y en cualquier lugar, utilizando sólo sus teléfonos inteligentes. Por el contrario, lo único que alteran las aplicaciones SpyLoan es la confianza en la tecnología, las instituciones financieras y entidades similares.

Otra razón de su crecimiento se observó en el análisis de Zimperium sobre cómo los actores maliciosos se aprovecharon del framework Flutter y lo utilizaron para desarrollar aplicaciones de préstamos maliciosas. Flutter es un kit de desarrollo de software (SDK) de código abierto diseñado para crear aplicaciones multiplataforma que pueden ejecutarse en varias plataformas como Android, iOS, web y Windows. Desde su lanzamiento en diciembre de 2018, Flutter ha desempeñado un papel importante a la hora de facilitar el desarrollo de nuevas aplicaciones móviles e impulsar su introducción en el mercado.

Aunque solo los desarrolladores de aplicaciones pueden confirmar con certeza si utilizaron Flutter para programar sus aplicaciones o partes de ellas, de las 17 aplicaciones que reportamos a Google, tres de ellas contienen bibliotecas específicas de Flutter o extensiones .dart, que hacen referencia al lenguaje de programación Dart de Flutter. Esto indica que al menos algunos de los atacantes están utilizando herramientas benignas de terceros para facilitar el desarrollo de sus aplicaciones maliciosas.

Técnicas de comunicación engañosas

Las aplicaciones de préstamos maliciosas suelen utilizar una redacción y unos elementos de diseño muy parecidos a los de las aplicaciones de préstamos legítimas. Esta similitud intencionada dificulta que los usuarios típicos determinen la autenticidad de una aplicación, especialmente cuando se trata de términos financieros y legales. Las comunicaciones engañosas desplegadas por estas aplicaciones se dividen en varias capas.

Descripción oficial de Google Play

Para poder poner el pie en la puerta de Google Play y ser publicadas en la plataforma, todas las apps de SpyLoan que analizamos proporcionaron una descripción que en su mayoría parece ajustarse no sólo a los requisitos de Google Play, sino que también parece cubrir las exigencias legales locales; algunas apps incluso afirmaban ser empresas financieras no bancarias registradas. Sin embargo, las transacciones sobre el terreno y las prácticas comerciales -como demuestran los comentarios de los usuarios y otros informes- llevadas a cabo por los desarrolladores de estas aplicaciones no cumplían las normas explícitamente declaradas por ellos.

En general, las apps de SpyLoan declaran abiertamente qué permisos se solicitan, afirman tener la licencia adecuada y facilitan el rango de la tasa anual equivalente (que siempre está dentro del límite legal establecido por las leyes locales sobre usura o legislación similar). La tasa anual equivalente (TAE) describe e incluye el tipo de interés y determinadas comisiones o gastos asociados al préstamo, como las comisiones de apertura, los gastos de tramitación u otros gastos financieros. En muchos países, está legalmente limitado y, por ejemplo, en el caso de los proveedores de préstamos personales en EE.UU., Google limitó la TAE al 36%.

El coste anual total (CAT) va más allá de la TAE e incluye no sólo el tipo de interés y las comisiones, sino también otros costes, como primas de seguros o gastos adicionales relacionados con el préstamo. El CAT, por tanto, proporciona a los prestatarios una estimación más precisa del compromiso financiero total que requiere el préstamo, incluidos todos los costes asociados. Dado que algunos países latinoamericanos exigen a los proveedores de préstamos que revelen el TAC, las aplicaciones SpyLoan comercializadas en esta región revelaron el verdadero coste elevado de sus préstamos con TAC de entre el 160% y el 340%, como se muestra en la Figura 15.

Las descripciones de las aplicaciones también incluían la duración de los préstamos personales, que establece el proveedor del préstamo y que, según la política de servicios financieros de Google, no puede ser inferior a 60 días. La duración del préstamo representa el periodo en el que se espera que el prestatario devuelva los fondos prestados y todos los costes asociados al prestamista. Las aplicaciones que hemos analizado tenían una duración fijada entre 91 y 360 días (véase la figura 15); sin embargo, los clientes que enviaron sus comentarios a Google Play (véase la figura 16) se quejaron de que la duración era significativamente más corta y de que los intereses eran elevados. Si nos fijamos en el tercer ejemplo de los comentarios de la Figura 16, el interés (549 pesos) era más alto que el préstamo real (450 pesos), y el préstamo junto con el interés (999 pesos) debía haberse devuelto en 5 días, violando así las políticas de duración de los préstamos de Google.

Política de privacidad

Por mandato de la política de desarrolladores de Google Play, y en línea con las normas de Conozca a su cliente (KYC), los desarrolladores que quieran colocar sus aplicaciones en Google Play deben proporcionar una política de privacidad válida y fácilmente accesible. Esta política debe cubrir aspectos como los tipos de datos recopilados, cómo se utilizan, con quién pueden compartirse, las medidas de seguridad existentes para proteger los datos de los usuarios y cómo estos pueden ejercer sus derechos en relación con sus datos. Esto es similar a las directrices KYC, que exigen transparencia en el uso y la protección de los datos. Los requisitos KYC para la recopilación de datos suelen incluir la recogida de información personal como el nombre completo, la fecha de nacimiento, la dirección, los datos de contacto y un número o documento de identificación emitido por el gobierno. En el contexto de los servicios financieros, esto también podría implicar la recopilación de datos sobre la situación laboral, la fuente de ingresos, el historial crediticio y otra información relevante para evaluar la solvencia.

Aunque una política de privacidad es un documento legal, puede generarse automáticamente de forma muy sencilla: existen muchos generadores gratuitos de políticas de privacidad que pueden generar un documento de este tipo después de que el desarrollador de la aplicación introduzca datos básicos como el nombre de la aplicación, la empresa que la respalda y los datos que la aplicación recopila. Esto significa que es bastante sencillo crear una política de privacidad que parezca auténtica al ciudadano de a pie.

En marcado contraste con las normas KYC, las aplicaciones SpyLoan que identificamos utilizaban tácticas engañosas en sus políticas de privacidad. Afirmaban necesitar permiso para acceder a archivos multimedia "para llevar a cabo una evaluación de riesgos", permiso de almacenamiento "para ayudar a presentar documentos", acceder a datos de SMS que, según decían, sólo estaban relacionados con transacciones financieras "para identificarte correctamente"el acceso al calendario "para programar la fecha de pago y los recordatorios correspondientes", el permiso de cámara "para ayudar a los usuarios a subir las fotos necesarias" y el permiso de registro de llamadas "para confirmar que nuestra aplicación está instalada en su propio teléfono". En realidad, de acuerdo con las normas KYC, la verificación de la identidad y la evaluación del riesgo podrían realizarse utilizando métodos de recopilación de datos mucho menos intrusivos. Como ya hemos mencionado, según las políticas de privacidad de estas aplicaciones, si no se conceden esos permisos a la aplicación, no se prestará el servicio y, por tanto, el préstamo. La verdad es que estas aplicaciones no necesitan todos estos permisos, ya que todos estos datos se pueden cargar en la aplicación con un permiso único que sólo tiene acceso a las fotos y documentos seleccionados, no a todos ellos, se puede enviar una solicitud de calendario al destinatario del préstamo por correo electrónico, y el permiso para acceder a los registros de llamadas es completamente innecesario.

Algunas políticas de privacidad estaban redactadas de forma extremadamente contradictoria. Por un lado, enumeraban razones engañosas para recopilar datos personales, mientras que, por otro, afirmaban que no se recopilaban datos personales sensibles, como se muestra en la Figura 17. Esto va en contra de las normas de KYC. Esto va en contra de las normas KYC, que exigen una comunicación honesta y transparente sobre la recopilación y el uso de datos, incluidos los tipos específicos de datos mencionados anteriormente.

Creemos que el verdadero propósito de estos permisos es espiar a los usuarios de estas aplicaciones y acosarlos y chantajearlos a ellos y a sus contactos.

Otra política de privacidad revela que la aplicación que ofrece préstamos a los egipcios está gestionada por SIMPAN PINJAM GEMILANG SEJAHTERA MANDIRI. Según la Autoridad General Egipcia para la Inversión y las Zonas Francas, ninguna empresa de este tipo está registrada en Egipto; sin embargo, la encontramos en la lista de docenas de plataformas ilegales de préstamos entre particulares sobre las que advirtió el Grupo de Trabajo de Alerta sobre Inversiones de Indonesia en enero de 2021.

En conclusión, aunque estas aplicaciones SpyLoan cumplen técnicamente con los requisitos de tener una política de privacidad, sus prácticas van claramente más allá del alcance de la recopilación de datos necesaria para prestar servicios financieros y cumplir con las normas bancarias KYC. De acuerdo con las normas de KYC, las aplicaciones de préstamos legítimas sólo solicitan los datos personales necesarios para verificar la identidad y la solvencia, y no piden acceso a datos no relacionados, como archivos multimedia o entradas de calendario. En general, es importante que los usuarios conozcan sus derechos y tengan cuidado con los permisos que conceden a cualquier aplicación. Esto incluye ser consciente de las normas establecidas por la normativa bancaria KYC, que está diseñada no sólo para proteger a las instituciones financieras del fraude y otras actividades ilegales, sino también los datos personales y las transacciones financieras de sus usuarios.

Páginas web

Algunas de estas aplicaciones tenían sitios web oficiales que ayudaban a crear la ilusión de un proveedor de préstamos personales establecido y centrado en el cliente, contenían un enlace a Google Play y otra información en su mayoría genérica y simple que era similar a la descripción que el desarrollador proporcionó en Google Play, antes de que la aplicación fuera retirada. Normalmente no revelaban el nombre de la empresa que estaba detrás de la aplicación. Sin embargo, uno de los varios sitios web que analizamos iba más allá y contenía detalles sobre puestos de trabajo vacantes, imágenes de un entorno de oficina confortable y fotos del Consejo de Administración, todo ello robado de otros sitios web.

Los puestos de trabajo vacantes se copiaron de otras empresas y sólo se modificaron ligeramente. En el que se copió de Instahyre, una plataforma de contratación con sede en la India, y que se muestra en la figura 18, sólo se cambió de posición en el texto la línea "Buen conocimiento de Ameyo".

Las tres imágenes del entorno de oficina que aparecen en la figura 19 se copiaron de dos empresas: las fotos de la oficina y del campo de juego son de PaywithRing, una aplicación de pago india con millones de clientes, y la foto del equipo es de The Better India, una plataforma de medios digitales india.

Los miembros del Consejo de Administración se corresponden con los nombres relacionados con la empresa que afirma estar detrás de esta aplicación en concreto, pero las imágenes que se utilizaron en el sitio web (mostradas en la Figura 20) mostraban tres modelos de fotos de archivo diferentes, y en el sitio web no se indicaba que estas imágenes tenían únicamente fines ilustrativos.

Aunque es fácil hacer una búsqueda inversa de imágenes en Google para buscar la fuente de estas imágenes en un navegador de escritorio, es importante señalar que esto es mucho más difícil de hacer en un teléfono. Como hemos señalado anteriormente, los proveedores de estas aplicaciones se centran únicamente en los prestatarios potenciales que desean utilizar un teléfono móvil para obtener un préstamo.

Aplicaciones de préstamos legítimas frente a maliciosas: cómo distinguirlas

Como se mencionó en la sección Técnicas de comunicación engañosas, incluso si la aplicación o la empresa que la respalda dice que es un proveedor de préstamos aprobado, esto no garantiza automáticamente su legitimidad o sus prácticas éticas: aún puede engañar a los clientes potenciales mediante el uso de tácticas engañosas e información engañosa sobre las condiciones del préstamo. Como mencionó Lookout, solicitar un préstamo a instituciones establecidas podría parecer el mejor consejo para los prestatarios potenciales, pero las aplicaciones SpyLoan hacen que sea realmente difícil distinguirlas de las organizaciones financieras estándar y algunos prestatarios no tienen acceso a las entidades financieras tradicionales. Por lo tanto, es esencial acercarse a las aplicaciones de préstamos con precaución y tomar medidas adicionales para garantizar su credibilidad, ya que su instalación podría tener un impacto muy negativo en la situación financiera del prestatario. 

Limitarse a las fuentes oficiales y utilizar una aplicación de seguridad debería ser suficiente para detectar una aplicación de préstamos maliciosa; sin embargo, existen medidas adicionales que los usuarios pueden emplear para protegerse:

• Recurrir a fuentes oficiales
  Los usuarios de Android deberían evitar la instalación de aplicaciones de préstamos de fuentes no oficiales y tiendas de aplicaciones de terceros, y ceñirse a plataformas de confianza como Google Play, que aplican procesos de revisión de aplicaciones y medidas de seguridad. Aunque esto no garantiza una protección total, reduce el riesgo de encontrarse con aplicaciones de préstamos fraudulentas.
• Utilizar una aplicación de seguridad
  Una aplicación de seguridad para Android fiable protege al usuario de aplicaciones de préstamo maliciosas y de malware. Las aplicaciones de seguridad proporcionan una capa adicional de protección escaneando e identificando aplicaciones potencialmente dañinas, detectando malware y advirtiendo a los usuarios sobre actividades sospechosas. Las aplicaciones de préstamos maliciosas mencionadas en este blogpost son detectadas por los productos de ESET como Android/SpyLoan, Android/Spy.KreditSpy, o una variante de Android/Spy.Agent.
• Revisión de escrutinio
  Al descargar aplicaciones de Google Play, es importante prestar mucha atención a las reseñas de los usuarios (puede que no estén disponibles en tiendas no oficiales). Es crucial ser consciente de que las reseñas positivas pueden ser falsificadas o incluso extorsionadas a víctimas anteriores para aumentar la credibilidad de las aplicaciones fraudulentas. En cambio, los prestatarios deben centrarse en las reseñas negativas y evaluar cuidadosamente las preocupaciones planteadas por los usuarios, ya que pueden revelar información importante, como las tácticas de extorsión y el coste real que cobra el proveedor del préstamo.
• Política de privacidad y examen del acceso a los datos
  Antes de instalar una aplicación de préstamos, los usuarios deben leer su política de privacidad, si está disponible. Este documento suele contener información valiosa sobre la forma en que la aplicación accede a la información confidencial y la almacena. Sin embargo, los estafadores pueden emplear cláusulas engañosas o un lenguaje vago para engañar a los usuarios y conseguir que concedan permisos innecesarios o compartan datos personales. Durante la instalación, es importante prestar atención a los datos a los que la aplicación solicita acceso y preguntarse si los datos solicitados son necesarios para la funcionalidad de la aplicación de préstamo, como contactos, mensajes, fotos, archivos y eventos del calendario.
• Si la prevención no funciona
  Hay varias vías por las que las personas pueden buscar ayuda y tomar medidas si son víctimas de usureros digitales. Las víctimas deben denunciar el incidente a las autoridades policiales o judiciales pertinentes de su país, ponerse en contacto con los organismos de protección de los consumidores y alertar a la institución que rige las condiciones de los préstamos privados; en la mayoría de los países, es el banco nacional o su equivalente. Cuantas más alertas reciban estas instituciones, más probable será que tomen medidas. Si la aplicación de préstamos engañosa se obtuvo a través de Google Play, los particulares pueden solicitar ayuda al servicio de asistencia de Google Play, donde pueden denunciar la aplicación y solicitar la eliminación de sus datos personales asociados a ella. Sin embargo, es importante tener en cuenta que es posible que los datos ya se hayan extraído al servidor de C&C del atacante.

Conclusión

Incluso después de varios retiros, las aplicaciones SpyLoan siguen encontrando su camino en Google Play, y sirven como un importante recordatorio de los riesgos a los que se enfrentan los prestatarios cuando buscan servicios financieros en línea. Estas aplicaciones maliciosas se aprovechan de la confianza que los usuarios depositan en los proveedores legítimos de préstamos, utilizando técnicas sofisticadas para engañar y robar una amplia gama de información personal.

Es crucial que las personas actúen con cautela, validen la autenticidad de cualquier aplicación o servicio financiero y confíen en fuentes fiables. Manteniéndose informados y vigilantes, los usuarios pueden protegerse mejor de ser víctimas de estos engaños.

IoCs

Archivos

Red

Técnicas ATT&CK de MITRE

Esta tabla se ha elaborado utilizando la versión 13 del marco MITRE ATT&CK.