Programari espia ProSpy

Investigadors de ciberseguretat han descobert una sofisticada campanya de programari espia per a Android coneguda com a ProSpy, que s'adreça específicament als usuaris dels Emirats Àrabs Units (EAU) fent-se passar per aplicacions de missatgeria populars com ara Signal i ToTok. La campanya es basa en tàctiques enganyoses per enganyar els usuaris perquè instal·lin programari maliciós, evitant les botigues d'aplicacions oficials.

Com es propaga ProSpy

El programari maliciós ProSpy es distribueix a través de llocs web falsos i tècniques d'enginyeria social, animant els usuaris a descarregar i instal·lar manualment fitxers APK compromesos. Aquestes aplicacions no estan disponibles a botigues d'aplicacions legítimes, cosa que fa que la instal·lació manual des de fonts de tercers sigui un requisit.

La campanya, identificada per primera vegada el juny del 2025 i que es creu que està activa des del 2024, utilitza llocs web que es fan passar per Signal i ToTok per oferir fitxers APK amb trampes. Aquests fitxers es presenten enganyosament com a actualitzacions, amb noms com ara Signal Encryption Plugin i ToTok Pro.

Context històric: Per què ToTok va ser un objectiu

L'ús de ToTok com a esquer és particularment estratègic. ToTok va ser eliminat de Google Play i de l'Apple App Store el desembre de 2019 enmig d'acusacions que funcionava com a eina de vigilància per al govern dels Emirats Àrabs Units, recopilant converses dels usuaris, dades de localització i altra informació personal.

Els desenvolupadors de ToTok han negat sistemàticament aquestes afirmacions, qualificant l'eliminació de l'aplicació de manipulació del mercat i afirmant que el programari no espia els seus usuaris.

Capacitats de les aplicacions malicioses

Les aplicacions ProSpy estan dissenyades per sol·licitar permisos extensos per al dispositiu, inclòs l'accés a:

• Contactes
• Missatges SMS
• Fitxers emmagatzemats al dispositiu

El programari espia pot exfiltrar dades sensibles, com ara informació del dispositiu, còpies de seguretat del xat i llistes d'aplicacions instal·lades. Els investigadors també han observat la presència d'una altra família de programari espia d'Android que opera a la regió al mateix temps, cosa que suggereix un esforç coordinat de focalització.

Redirecció enganyosa per emmascarar activitat maliciosa

La campanya inclou tàctiques de redirecció enginyoses que reforcen la legitimitat de les aplicacions:

ToTok Pro

• L'aplicació inclou un botó "CONTINUA", que dirigeix els usuaris a la pàgina oficial de descàrrega de ToTok.

• Els futurs llançaments de l'aplicació maliciosa obren l'aplicació legítima de ToTok, ocultant eficaçment el programari espia.

• Els usuaris poden notar dues aplicacions al seu dispositiu (ToTok i ToTok Pro), que podrien ser sospitoses.

Complement de xifratge de senyal

• Aquesta aplicació inclou un botó «HABILITA» que guia els usuaris al lloc web oficial de Signal.
• La icona de l'aplicació no autoritzada es disfressa de Serveis de Google Play després que s'hagin concedit els permisos, cosa que emmascararia encara més la seva presència.
• Independentment de l'aplicació, l'exfiltració de dades es produeix silenciosament abans que els usuaris interactuïn amb els botons de redirecció, cosa que compromet contactes, missatges, fitxers i altra informació confidencial.

Impacte regional i implicacions de seguretat

La campanya ProSpy destaca els riscos d'instal·lar manualment aplicacions des de fonts no oficials i les amenaces contínues que tenen com a objectiu els usuaris dels Emirats Àrabs Units. Aquestes campanyes demostren com els ciberdelinqüents exploten tant les controvèrsies històriques com la confiança en aplicacions populars per infiltrar-se en dispositius i robar dades.