Llevas meses pagando por una VPN que no ha hecho nada más que espiarte

Redazione RHC : 7 agosto 2025 21:53

La compleja infraestructura de la red publicitaria fraudulenta VexTrio Viper ha vuelto a ser el centro de atención después de que los investigadores de Infoblox revelaran detalles de un masivo esquema de aplicaciones móviles falsas.

Bajo la apariencia de servicios legítimos —desde VPN hasta limpiadores de RAM, filtros de spam y aplicaciones de citas—, los estafadores insertaron programas maliciosos en las tiendas de aplicaciones oficiales de Apple y Google. Estos programas se distribuían bajo la apariencia de varios supuestos desarrolladores, como HolaCode, LocoMind, Hugmi, Klover Group y AlphaScale Media. El número total de descargas se cuenta por millones.

Una vez instaladas, estas aplicaciones obligaban a los usuarios a aceptar términos opacos, los engañaban para que proporcionaran datos personales, bombardeaban el dispositivo con publicidad agresiva y dificultaban su desinstalación. Por ejemplo, una aplicación llamada Spam Shield Block, disfrazada de herramienta antispam, exigía un pago inmediato y, si el usuario se negaba, la publicidad hacía insoportable el uso del dispositivo. Los usuarios se quejaron de precios de suscripción poco fiables, cargos múltiples y la imposibilidad de desinstalar; acciones claramente destinadas a extraer fondos de forma sigilosa.

Sin embargo, las aplicaciones móviles son solo la punta del iceberg. VexTrio opera una red de actividades fraudulentas, incluyendo sistemas de distribución de tráfico (TDS) que redirigen a los usuarios de sitios pirateados a páginas falsas. Estos TDS se camuflaban mediante los llamados smartlinks, enlaces inteligentes que revelan la dirección final solo en el último momento y se adaptan a la víctima: su ubicación geográfica, tipo de dispositivo y navegador. Esto les permite eludir los filtros y dificulta el análisis por parte de especialistas.

El tráfico a estas trampas se genera inicialmente a través de sitios web de WordPress pirateados que contienen código malicioso. Los estafadores utilizan estos sitios para distribuir anuncios falsos, desde loterías hasta estafas con criptomonedas.

Curiosamente, la organización controla no solo la parte publicitaria, sino también toda la cadena de distribución: el envío de correos electrónicos, el procesamiento de datos de pago y la validación de direcciones postales. Por ejemplo, el servicio DataSnap verifica la validez de los correos electrónicos y Pay Salsa cobra los pagos. El spam se envía a través de dominios falsos que parecen ser servicios legítimos como SendGrid y MailGun.

Para ocultar los dominios finales y eludir las comprobaciones, se utiliza el servicio IMKLO. Este servicio filtra el tráfico entrante y determina si se debe mostrar una página engañosa u ocultarla a los inspectores. Este ajuste fino hace que la campaña sea prácticamente indetectable.

Los autores del informe enfatizan que el éxito de estos esquemas está garantizado no solo por la sofisticación técnica, sino también por una zona gris legal: los estafadores intentan evitar los virus directos y las acciones maliciosas, permaneciendo en el ámbito del engaño y la ingeniería social, donde la responsabilidad es menos común.

El principal problema con esta amenaza es la percepción de estos esquemas como «menos peligrosos» que las infecciones de malware. Mientras que la atención pública se centra en los troyanos y exploits, el fraude masivo que involucra suscripciones, tarjetas de crédito y datos personales permanece en la sombra. Desarrollar capacitación en higiene digital y replantear las actitudes hacia las estafas «blandas» es una tarea clave en la lucha contra este tipo de delito.

Redazione
Red Hot Cyber's editorial team consists of a collection of individuals and anonymous sources who actively collaborate by providing advance information and news on cyber security and IT in general.

Lista degli articoli