Los investigadores observaron una nueva variante del malware Android.Xiny con un mecanismo de defensa personal mejorado. El malware se dirige solo a las versiones anteriores de los dispositivos Android y obtiene el acceso completo a la raíz del dispositivo Android vulnerable.

Infecta la versión del dispositivo Android con Android 5.1 y versiones posteriores, según un informe de Google con fecha del 7 de mayo de 2019, el 25.2% de los usuarios todavía usan dispositivos con Android 5.1 y versiones inferiores.


Estos dispositivos vulnerables en esta lista que nunca serán parcheados, por lo que no es de extrañar que los desarrolladores de malware sigan interesados ​​en ellos. Al explotar dichas vulnerabilidades, los atacantes pueden obtener permisos de root y disfrutar de rienda suelta en un sistema, con la capacidad de hacer lo que quieran.


El malware Android.Xiny se observó por primera vez en 2015, sus actividades incluyen establecer conexiones de acceso remoto, capturar la entrada del teclado, recopilar información del sistema y eliminar otro malware. realizando ataques DoS.

Además, Android.Xiny.5261 elimina algunas aplicaciones preinstaladas para liberar espacio de almacenamiento y también elimina las aplicaciones que se usan comúnmente para administrar privilegios de root.

Nueva versión de Android.Xiny

En el dispositivo infectado, los atacantes instalan aplicaciones que vienen bajo programas de referencia de pago por instalación para obtener beneficios monetarios. En algunos casos, se utilizan para instalar toneladas de aplicaciones inofensivas que pueden hacer que el dispositivo no funcione.

La nueva versión del malware tiene una defensa de dos niveles, "su instalador elimina las aplicaciones que pueden otorgar acceso de root a un usuario, mientras que el archivo de biblioteca alterado libc.so impide que los usuarios vuelvan a instalar los programas", se lee en la publicación del blog Dr.Web. .

Los atacantes adquieren privilegios de root con dispositivos Android antiguos explotando las vulnerabilidades, en el permiso de root adquirido se inicia el módulo instalador.

Una vez lanzado, actualiza "/ system / bin / debuggerd y / system / bin / ddexe" para que se inicie automáticamente y también actualiza los directorios del sistema. También contiene una lista de aplicaciones y archivos para eliminar del dispositivo, para liberar espacio en la memoria.

El siguiente archivo es la versión modificada de libc.so, que reemplaza al original, los atacantes realizan estos cambios para bloquear las aplicaciones que se pueden usar para obtener los privilegios de root.

El malware modifica las siguientes rutinas mount, execve, execv, execvp, execle, execl, execlp, con las rutinas exec * modificadas, la aplicación no ejecutará exploits con privilegios elevados.

Si tiene el dispositivo infectado con este tipo de malware, la mejor opción es volver a actualizar el disco con el firmware oficial, pero tenga en cuenta que todos los datos se eliminarán.

fuente: gbhackers