El gusano SMS Selftime para android está de vuelta, en esta nueva versión es el doble de peligroso y con mayor difusión que el anterior.

Investigadores de AdaptiveMobile, quienes descubrieron ambas versiones, lo llamaron "Selftime on Steroids", las muestras se detectaron en México, Canadá, China, Costa Rica, Ghana, India, Iraq, Marruecos, Puerto Rico, Rusia, Sudan, Siria, Estados Unidos, Venezuela y Vietnam.

"Selftime.b infecta a muchos más usuarios, utiliza varias técnicas de monetización y en general es más peligroso y difícil de parar", señalaron. 

Como antes, la infección comienza con los usuarios que reciben mensajes SMS que promueven una aplicación. "Hola amigo, intenta esto, es increíble sabes" y "Hey, pruébalo, es muy fino", e incluyen un enlace corto. 

Los usuarios que descargan e instalan el archivo APK ofrecido, una aplicación troyanizada de Google Plus que inyecta el código del gusano, se infectan. El gusano contacta el servidor remoto y descarga un archivo de configuración que contiene los datos que utilizará el gusano para propagar la infección. 

A diferencia de la versión anterior del software malicioso, que envió mensajes a sólo 20 de los contactos de la víctima, éste lo envía a todos. 

"AdaptiveMobile ha rastreado más de 150 mil mensajes enviados en los últimos 10 días a partir de más de 100 dispositivos de 16 países. Esto es 100 veces más tráfico que el generado por Selfmite.a", apuntaron investigadores.

"Esto significa que las posibles víctimas seguirán recibiendo mensajes SMS maliciosos desde un teléfono infectado hasta que el operador detecte y bloquee los mensajes o el propietario de un teléfono infectado elimine el malware", señaló el investigador Denis Maslennikov. "Mediante el uso de múltiples 'puntos touch' para atraer a los usuarios después de la instalación, Selfmite.b aumenta sus posibilidades de monetización", explicaron los investigadores. 

El gusano varía el contenido de acuerdo a las direcciones IP, esto significa que los usuarios de diferentes países serán redirigidos a diferentes sitios web". 

Hasta ahora, la propagación del gusano ha sido contenida por Go Daddy, titular del servicio de acortamiento de URL usado por los autores del malware, quienes han desactivado algunos enlaces maliciosos. Sin embargo, los enlaces se cambian y expulsan al gusano a través de un cambio donde el archivo de configuración se descarga fácilmente.