Para robar los datos bancarios de los usuarios, 'Aiphone.A' se instala como un BHO (Browser Helper Object u objeto de ayuda al navegador) en el ordenador. Cuando un usuario infectado intenta visitar la página oficial del iPhone, el troyano lo redirige hacia una página falsa. En ella, para poder comprar el teléfono deberá dar sus datos bancarios, que serán robados, pasando a las manos del creador del 'malware'.

El virus puede llegar a los ordenadores como un archivo adjunto en un correo electrónico o como parte de descargas infectadas de Internet. Una vez en el PC, el programa dispone de varias herramientas para actuar, cada una pensada para atacar por diferentes vías. Una, llamada 'Redirects Admin', especifica qué páginas debe redireccionar el 'bot' y a dónde debe hacerlo. En este caso, la herramienta se ha utilizado para que aquellos usuarios que quieran visitar las páginas oficiales del iPhone terminen en la página falsa.

Con 'Search Redir', los piratas indican al troyano qué resultados debe mostrar cuando el usuario realice búsquedas en Internet y a dónde debe dirigirle cuando pulse sobre ellos que será, de nuevo, a la página falsa. Por otro lado, 'Injects Admin' indica a 'Aifone.A' qué enlaces debe modificar para que, cuando un usuario visite una página web que contenga un vínculo a una página que trate sobre el iPhone, sea redirigido, una vez más, a la página falsa.

'Malware', 'phising' y 'adware' en uno

Otras herramientas llamadas 'Popups Admin' y 'Banners Admin' permiten a los ciber-delincuentes mostrar 'pop-ups' y 'banners' con publicidad sobre el iPhone en el ordenador infectado. El objetivo, de nuevo, es incitar al usuario a visitar la página falsa y a comprar allí el teléfono.

Para Luis Corrons, Director Técnico de PandaLabs, "se trata de uno de los despliegues más grandes que hemos visto para afectar a una sola comunidad de consumidores, en este caso la del iPhone. Es un ataque muy complejo y peligroso que combina elementos de 'malware'(el troyano), de 'phishing' (la página falsa) e, incluso, de 'adware' (muestra de pop-ups, modificación de los resultados de búsqueda, etc.)".

Lo peligroso de este ataque es que, igual que ahora está siendo utilizado para afectar a aquellos que deseen comprar un iPhone, con unas pocas modificaciones puede ser empleado para afectar a un grupo de usuarios interesado en cualquier otro producto, incluso, a varios grupos a la vez, lo que haría aumentar las posibilidades de éxito de los criminales.

PandaLabs ofrece la posibilidad de analizar su ordenador si cree que ha podido ser infectado desde http://www.infectedornot.com/spain.