Instalamos un malware que "hackea" nuestro móvil: estos son los permisos que pueden llegar a obtener sin que nos demos cuenta

En un rango de 20 metros es posible detectar decenas de dispositivos Bluetooth. Todos nuestros móviles tienen esta tecnología y con el auge del Internet de las Cosas habrá incluso más dispositivos conectados. Esta conexión sirve para entrelazar y transmitir información de forma fácil, pero también puede ser puerta de entrada de malware si no estamos suficiente protegidos.

John Shier, analista de seguridad de Sophos, nos realiza una demostración de lo fácil que es para los ciberdelincuentes atacar, rastrear e incluso secuestrar un teléfono móvil en caso de que esté desactualizado o el usuario realice algunos pasos para permitir inconscientemente la instalación del malware.

Esquivando las protecciones de Google para instalar el malware

La demostración del experto en seguridad es sencilla y visualmente impactante, aunque afortunadamente su impacto es muy limitado gracias a los sistemas de seguridad actuales que empresas como Google añaden en los móviles Android desde 2012. Hablamos de Google Play Protect, una capa de protección que deberemos desactivar para que el malware pueda actuar en su totalidad.

Podemos dividir en dos partes el ataque. En primer lugar cómo consiguen los ciberatacantes acceder a nuestro móvil y en segundo; qué pueden hacer una vez han instalado el malware.

Mediante el uso de beacons, un par de antenas para ampliar la señal bluetooth y su ordenador, el analista logra instalar una aplicación remotamente en un móvil de prueba con Android 6.0 Marshmallow. Vulnerabilidades como BlueBorne permiten que millones de dispositivos sean vulnerables hasta que los fabricantes no los actualicen con el parche correspondiente.

La aplicación instalada contiene un spyware capaz de obtener permisos que van más allá de los nombrados durante su instalación. Esto es debido a que bajo la apariencia de una aplicación tan "inocente" como por ejemplo 'Free Bitcoin' se esconde el spyware utilizado.

Para esta aplicación, acceder al móvil no es tan fácil. Cuando lo probamos en un Android con Google Play Protect, directamente salta un aviso. Tampoco la encontraremos en Google Play. Sin embargo, en tiendas de aplicaciones no oficiales sí es posible para los atacantes añadir aplicaciones infecciosas, normalmente con una apariencia llamativa y relacionada con el último tema de moda.

En el caso de la demostración, lo que hizo Shier es enviar el APK al móvil e instalarla con comandos ADB. Claro está, este proceso requiere de varios toques en el móvil para aceptar algunos pasos. Además de desactivar Google Play Protect manualmente. Un proceso que no es trivial, lo que genera seguridad. Pero vayamos a la segunda parte. El momento cuando a través de una aplicación maliciosa hemos conseguido acceso casi total al móvil.

Una vez dentro del móvil, el malware tiene acceso casi total

Una vez el archivo malicioso está instalado, activa el sistema de control remoto y puede llegar a ocultarse del listado de aplicaciones. Desde el ordenador tenemos acceso a un panel de control con toda una serie de opciones. Aparentemente el comportamiento del móvil es el mismo y todo se realiza en segundo plano. Literalmente tenemos a golpe de clic todo lo que necesitemos del móvil, principalmente como si lo estuviéramos utilizando directamente.

Por ejemplo podemos acceder al sistema de archivos del móvil y mover lo que necesitemos. Aquí se incluyen por supuesto acceder a las imágenes que tengamos guardadas, no así a las que estén en la nube.

Otro apartado accesible son los SMS, las llamadas y los contactos. Hoy en día la mayoría de la mensajería se realiza de forma cifrada a través de aplicaciones, pero la información de los contactos sigue estando en el móvil desprotegida salvo que utilicemos algún servicio adicional. Y en realidad también los mensajes de cualquier servicio, porque el spyware consigue acceso a las notificaciones.

Con el malware, el atacante podría incluso realizar llamadas. Aunque en este caso nos aparecería en pantalla y nos daríamos cuenta. No cuesta imaginar por eso que estas llamadas se realizaran por la noche, con el móvil en silencio. Porque desde el panel de control del spyware también es posible acceder a estos ajustes.

Tenemos el mismo control del móvil que podríamos tener si lo conectamos directamente nosotros con el PC. Esto incluye también el listado de aplicaciones, conocer la localización del terminal , instalar un usuario adicional o un keylogger.

Una de las pruebas más escalofriantes es ver cómo es posible sacar una foto con la cámara interna del dispositivo y poder descargar capturas de pantalla. Una vez han "hackeado" nuestro móvil, este puede ser utilizado para espiarnos fácilmente. Durante la demostración estuvimos jugando con la cámara del móvil y aunque la sincronización no era lo más fluida, era perfectamente posible hacer fotos y verlas en el ordenador.

La cámara no es el único componente que puede ser utilizado para espiar. También está el micrófono. Con el spyware es muy sencillo grabar el sonido ambiente y guardarlo.

Como vemos, técnicamente es posible utilizar el móvil para espiar a unos niveles que colocan nuestra privacidad en entredicho. Afortunadamente, cada vez es más difícil instalar este tipo de malware. No obstante viene bien recordar estos peligros para volver a incidir en la importancia de una buena seguridad.

En Xataka Android | "Hackeamos" un móvil Android: así son los servicios para espiar móviles que pueden llevarte a la cárcel