{"id":920,"date":"2026-05-19T17:55:26","date_gmt":"2026-05-19T17:55:26","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/05\/19\/el-esquema-de-fraude-publicitario-de-trapdoor-en-android-alcanzo-659-millones-de-solicitudes-de-ofertas-diarias-utilizando-455-aplicaciones\/"},"modified":"2026-05-19T17:55:26","modified_gmt":"2026-05-19T17:55:26","slug":"el-esquema-de-fraude-publicitario-de-trapdoor-en-android-alcanzo-659-millones-de-solicitudes-de-ofertas-diarias-utilizando-455-aplicaciones","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/05\/19\/el-esquema-de-fraude-publicitario-de-trapdoor-en-android-alcanzo-659-millones-de-solicitudes-de-ofertas-diarias-utilizando-455-aplicaciones\/","title":{"rendered":"El esquema de fraude publicitario de Trapdoor en Android alcanz\u00f3 659 millones de solicitudes de ofertas diarias utilizando 455 aplicaciones"},"content":{"rendered":"
\n

Investigadores de ciberseguridad han revelado detalles de una nueva operaci\u00f3n de fraude publicitario y publicidad maliciosa denominada Trampa<\/b> Dirigido a usuarios de dispositivos Android.<\/p>\n

La actividad, seg\u00fan el equipo de investigaci\u00f3n e inteligencia de amenazas Satori de HUMAN, abarc\u00f3 455 aplicaciones maliciosas de Android y 183 dominios de comando y control (C2) propiedad de actores de amenazas, lo que convirti\u00f3 la infraestructura en un canal para el fraude en m\u00faltiples etapas.<\/p>\n

\u00abLos usuarios, sin saberlo, descargan una aplicaci\u00f3n propiedad de un actor de amenazas, a menudo una aplicaci\u00f3n de estilo utilidad como un visor de PDF o una herramienta de limpieza de dispositivos\u00bb, investigadores Louisa Abel, Ryan Joye, Jo\u00e3o Marques, Jo\u00e3o Santos y Adam Sell detallado<\/a> en un informe compartido con The Hacker News.<\/p>\n

\u00abEstas aplicaciones desencadenan campa\u00f1as de publicidad maliciosa que obligan a los usuarios a descargar aplicaciones adicionales propiedad de los actores de amenazas. Las aplicaciones secundarias lanzan WebViews ocultas, cargan dominios HTML5 propiedad de los actores de amenazas y solicitan anuncios\u00bb.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

La campa\u00f1a, a\u00f1adi\u00f3 la empresa de ciberseguridad, es autosostenible en el sentido de que la instalaci\u00f3n org\u00e1nica de una aplicaci\u00f3n se convierte en un ciclo de generaci\u00f3n de ingresos il\u00edcitos que puede utilizarse para financiar campa\u00f1as de publicidad maliciosa posteriores. Un aspecto notable de la actividad es el uso de sitios de retiro de efectivo basados \u200b\u200ben HTML5, un patr\u00f3n observado en grupos de amenazas anteriores rastreados como SlopAds, Low5 y BADBOX 2.0.<\/p>\n

En el punto \u00e1lgido de la operaci\u00f3n, Trapdoor represent\u00f3 659 millones de solicitudes de oferta por d\u00eda, y las aplicaciones de Android vinculadas al esquema se descargaron m\u00e1s de 24 millones de veces. El tr\u00e1fico asociado con la campa\u00f1a se origin\u00f3 principalmente en EE. UU., que represent\u00f3 m\u00e1s de las tres cuartas partes del volumen de tr\u00e1fico.<\/p>\n

\u00abLos actores de amenazas detr\u00e1s de Trapdoor tambi\u00e9n abusan de las herramientas de atribuci\u00f3n de instalaci\u00f3n (tecnolog\u00eda dise\u00f1ada para ayudar a los vendedores leg\u00edtimos a rastrear c\u00f3mo los usuarios descubren aplicaciones) para permitir comportamiento malicioso solo en usuarios adquiridos a trav\u00e9s de campa\u00f1as publicitarias dirigidas por actores de amenazas, mientras lo suprimen para descargas org\u00e1nicas de las aplicaciones asociadas\u00bb, dijo HUMAN.<\/p>\n

\"\"<\/a><\/div>\n

Trapdoor combina dos enfoques dispares, distribuci\u00f3n de publicidad maliciosa y monetizaci\u00f3n de fraude publicitario oculto, donde los usuarios desprevenidos terminan descargando aplicaciones falsas disfrazadas de utilidades aparentemente inofensivas que act\u00faan como un conducto para publicar anuncios maliciosos para otras aplicaciones de Trapdoor, que est\u00e1n dise\u00f1adas para realizar fraude t\u00e1ctil automatizado, as\u00ed como para lanzar WebViews ocultos, cargar dominios de lavado controlados por actores de amenazas y solicitar anuncios.<\/p>\n

Vale la pena se\u00f1alar que solo se utiliza la aplicaci\u00f3n de segunda etapa para desencadenar el fraude. Una vez que se inicia la aplicaci\u00f3n descargada org\u00e1nicamente, muestra alertas emergentes falsas que imitan los mensajes de actualizaci\u00f3n de la aplicaci\u00f3n para enga\u00f1ar a los usuarios para que instalen la aplicaci\u00f3n de la siguiente etapa.<\/p>\n

Este comportamiento tambi\u00e9n indica que la carga \u00fatil se activa s\u00f3lo para aquellos que son v\u00edctimas de la campa\u00f1a publicitaria. En otras palabras, cualquiera que descargue la aplicaci\u00f3n directamente desde Play Store o la descargue no ser\u00e1 el objetivo. Adem\u00e1s de esta t\u00e9cnica de activaci\u00f3n selectiva, Trapdoor emplea varias t\u00e9cnicas de antian\u00e1lisis y ofuscaci\u00f3n para eludir la detecci\u00f3n.<\/p>\n

\u00abEsta operaci\u00f3n utiliza software real y cotidiano y m\u00faltiples t\u00e9cnicas de ofuscaci\u00f3n y antian\u00e1lisis, como hacerse pasar por SDK leg\u00edtimos para integrarse, para ayudar a fusionar la distribuci\u00f3n de publicidad maliciosa, la monetizaci\u00f3n del fraude publicitario oculto y la distribuci\u00f3n de malware en m\u00faltiples etapas\u00bb, dijo Lindsay Kaye, vicepresidenta de inteligencia de amenazas de HUMAN.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

Tras una divulgaci\u00f3n responsable, Google ha tomado medidas para eliminar todas las aplicaciones maliciosas identificadas de Google Play Store, neutralizando efectivamente la operaci\u00f3n. La lista completa de aplicaciones de Android est\u00e1 disponible aqu\u00ed<\/a>.<\/p>\n

\u00abTrapdoor muestra c\u00f3mo los estafadores decididos convierten las instalaciones cotidianas de aplicaciones en un canal de autofinanciaci\u00f3n para publicidad maliciosa y fraude publicitario\u00bb, dijo Gavin Reid, director de seguridad de la informaci\u00f3n de HUMAN. \u00abEste es otro ejemplo de actores de amenazas que cooptan herramientas leg\u00edtimas, como el software de atribuci\u00f3n, para ayudar en sus campa\u00f1as de fraude y ayudarles a evadir la detecci\u00f3n\u00bb.<\/p>\n

\u00abAl encadenar aplicaciones de utilidad, dominios de retiro HTML5 y t\u00e9cnicas de activaci\u00f3n selectiva que se esconden de los investigadores, estos actores est\u00e1n en constante evoluci\u00f3n, y nuestro equipo de Satori est\u00e1 comprometido a rastrearlos e interrumpirlos a escala\u00bb.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"

Investigadores de ciberseguridad han revelado detalles de una nueva operaci\u00f3n de fraude publicitario y publicidad maliciosa denominada Trampa Dirigido a usuarios de dispositivos Android. La actividad, seg\u00fan el equipo de investigaci\u00f3n e inteligencia de amenazas Satori de HUMAN, abarc\u00f3 455 aplicaciones maliciosas de Android y 183 dominios de comando y control (C2) propiedad de actores […]<\/p>\n","protected":false},"author":1,"featured_media":731,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[2625,75,786,2628,2623,1676,239,2627,1809,2626,2624,330],"class_list":["post-920","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-alcanzo","tag-android","tag-aplicaciones","tag-diarias","tag-esquema","tag-fraude","tag-millones","tag-ofertas","tag-publicitario","tag-solicitudes","tag-trapdoor","tag-utilizando"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/920","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=920"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/920\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/731"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=920"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=920"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=920"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}