Recientemente se descubrió un tipo de malware que afecta a dispositivos iOS que cuentan con jailbreak (modificación no autorizada por Apple). Se le ha nombrado AdThief o Spad y ha sido capaz de infectar alrededor de 75 mil dispositivos iOS, adquiriendo ilegalmente ingresos provenientes de 22 millones de anuncios en un periodo de aproximadamente cuatro meses.

Comparándolo con el malware que afecta a dispositivos Android, el malware para iOS es extremadamente raro, es comprensible el por qué nuevos casos generan gran interés en los círculos antivirus.

Aunque fue descubierto por el investigador Claud Xiao en marzo de 2014, la primera aparición de AdThief fue a principios de diciembre de 2013. Debido a que el investigador no compartió muchos detalles acerca de su descubrimiento, la analista de antivirus de Fortinet, Axelle Apvrille, ha decidido investigar por su cuenta y ver de qué se trata.

Lo primero de lo que se aseguró, es que el malware funciona únicamente en dispositivos iOS con jailbreak. Implementa y aprovecha la plataforma Cydia Substrate para engancharse a funciones de publicidad y simplemente cambiar el ID del desarrollador o de algún asociado por el del atacante.

Lo anterior implica que cada vez que se ve o se da clic en un anuncio, las ganancias derivadas serán para el atacante en lugar de para el desarrollador o el asociado. El malware en sí no afecta al usuario, son los desarrolladores quienes pierden dinero.

El malware afecta a 15 kits de anuncios para móviles, la mayoría de ellos en China pero algunos en EE.UU. (AdMob, AdWhil, Google Mobile Ads) e India (InMobi, Komli Mobile) también resultaron afectados.

Al analizar el malware, Apvrille también encontró información de depuración (útil para identificar y eliminar errores de software) que parece indicar que el autor es un hacker chino especializado en plataformas móviles. Sus apodos en Internet "Rover12421" y "zerofile" revelaron una cuenta de Twitter, un blog, hacks para Android y publicaciones en un foro que sugieren que él creó únicamente una parte del código del malware, es decir, una extensión (plugin) de reemplazo de ID en anuncios que posteriormente fue mejorada y propagada por otros.

Desafortunadamente, ninguno de los investigadores explicó la forma en la que el malware se distribuye e infecta los dispositivos.