De acuerdo con el laboratorio en febrero de 2013 detectó el troyano SMS Trojan-SMS.AndroidOS.FakeInst.ef, que envía mensajes comerciales de texto e intercepta los entrantes. Las primeras versiones sólo eran capaces de enviar mensajes a números comerciales en Rusia; sin embargo han aparecido 14 versiones distintas de este troyano atacando a usuarios en 66 países, incluyendo Argentina, Bolivia, Brasil, Chile, Colombia, Ecuador, México, Perú y Venezuela.
Analistas del laboratorio explicaron que FakeInst se camufla como una aplicación para mirar videos pornográficos. La aplicación le pide al usuario que acepte enviar un mensaje de texto para comprar contenidos. Sin embargo, después de enviar el mensaje, el troyano abre un sitio de libre acceso.
Para enviar el mensaje, el troyano descifra un archivo de configuración que contiene todos los números y prefijos telefónicos. De esta lista, FakeInst selecciona los números y prefijos apropiados para el código de país para el móvil del usuario (MCC). “FakeInst es capaz de enviar 3085 diferentes modificaciones de textos que lucran a través del saldo de la víctima trayendo las ganancias ilícitas a los criminales. En México, el troyano envía mensajes a un número de 5 dígitos, en Chile a un número de 4 dígitos, en Brasil a un número de 5 dígitos, y lo mismo en Argentina”, detalló Dmitry Bestuzhev, director del Equipo de Investigación y Análisis para Kaspersky Lab América Latina.
El troyano también se comunica con su servidor de control y comando para recibir más instrucciones. De todos los comandos que recibe y procesa, está la habilidad para enviar un mensaje con un contenido específico a un número que aparece listado en el comando del C&C, y la habilidad para interceptar mensajes entrantes. El troyano puede hacer varias cosas con los mensajes entrantes: robarlos, eliminarlos o incluso responderles, abundó el laboratorio.
“La combinación mortal para un usuario es tener el hábito de ver pornografía en el celular y no tener un antivirus en el dispositivo móvil. La única manera de no perder el dinero de su saldo a causa de este troyano es teniendo un anti-virus que lo detecte e impida su instalación”, aseguró Bestuzhev.
Analistas de Kaspersky Lab consideran que FakeInst es obra de ciberdelincuentes rusos ya que sus primeras versiones estaban diseñadas para funcionar sólo en Rusia y porque todos sus servidores C&C están registrados y alojados con proveedores en ese país.
