Los teléfonos de bajo costo vienen con un WhatsApp falso que roba criptomonedas

Una versión falsa de WhatsApp preinstalada en teléfonos Android baratos está robando criptomonedas al cambiar las direcciones de las carteras y escanear los datos de los usuarios.

Los investigadores de seguridad han descubierto una peligrosa estafa que involucra teléfonos inteligentes Android baratos con aplicaciones falsas preinstaladas diseñadas para robar criptomonedas. Según la compañía de antivirus con sede en Rusia Doctor Web, la campaña de malware se informó por primera vez a mediados de 2024 y ha crecido significativamente desde entonces.

Los atacantes están enfocándose en usuarios que compran smartphones de bajo costo que parecen similares a modelos de grandes marcas como el “S23 Ultra” o el “Note 13 Pro”. Estos teléfonos a menudo afirman tener Android 14, pero en realidad están ejecutando una versión modificada de Android 12, con especificaciones de sistema falsas.

Una versión troyanizada de WhatsApp, instalada en secreto en estos teléfonos, está en el centro de la estafa. Utilizando una herramienta llamada LSPatch, los hackers añadieron un módulo oculto a la aplicación. Una vez activo, intercepta y cambia en silencio las direcciones de las billeteras de criptomonedas copiadas, un método conocido como “clipping”.

El malware incluso engaña tanto al remitente como al destinatario. Doctor Web explica que “en el caso de un mensaje saliente, el dispositivo comprometido muestra la dirección correcta de la propia cartera de la víctima, mientras que al destinatario… se le muestra la dirección de la cartera de los estafadores”.

Esta versión de WhatsApp también envía todos los mensajes de los usuarios a los hackers y escanea el dispositivo en busca de imágenes que contengan frases de recuperación, a menudo utilizadas para acceder a las carteras de criptomonedas. Muchos usuarios toman capturas de pantalla de estas frases, lo que proporciona a los hackers un acceso completo si se encuentran.

Doctor Web nombró al troyano Shibai. Se informa que afecta a unas 40 aplicaciones, incluyendo Telegram, Trust Wallet y MathWallet. La campaña utiliza más de 60 servidores y 30 dominios, y algunas carteras de hackers han recibido más de $1 millón en criptomonedas robadas.