La privacidad, como ya os hemos comentado en multitud de
ocasiones, se encuentra a la orden del día. Nuestros dispositivos móviles se
han convertido en una puerta de entrada más a nuestra vida privada, una vida
que se mezcla cada vez más con nuestra vida real. Y no nos hace mucha gracia
que se vea expuesta a ojos ajenos, algo perfectamente comprensible.
Sin embargo, ha llegado a nuestra redacción una aplicación
que promete acceder por completo a todos los datos que tenga un dispositivo: un
espía que captura toda tu información, y que se queda ahí esperando a que vayas
revelando todos tus detalles. En El Androide Libre nos hemos atrevido a
probarla, y os comentamos todo lo que tenéis que saber sobre estas aplicaciones
que nos prometen ser verdaderos espías.
Qué nos promete la aplicación
El ejemplo que os traemos hoy, y del que no vamos a dar un
nombre en concreto por motivos obvios, es una aplicación que se vende como el
espía perfecto: capaz de capturar tus conversaciones de varias aplicaciones de
mensajería, de grabar tus llamadas e incluso el ambiente en el que estás,
conseguir tu localización, hacerse con tu lista de contactos…
La pantalla principal del sitio web. Da acceso a toda la
información recopilada, además de acceso a los parámetros que queramos guardar-
Y es el espía perfecto, para qué vamos a engañarnos. Es tan
sencillo como descargar la aplicación desde su web (no esta en Google Play,
primera cosa sospechosa), instalar aceptando una burrada de permisos (las
alarmas están sonando…), introducir nuestros datos del servicio, y ocultar la
aplicación del App Drawer para que no sea tan fácil de detectar por el usuario.
Lo único que necesita el atacante son cinco minutos con acceso físico libre al
dispositivo.
Todos los datos que recopila van a parar a un servidor
remoto en Tailandia, datos a los que podemos acceder con nuestra cuenta de
usuario en su página web. Todo es accesible a través de una interfaz web, y los
datos se pueden exportar a nuestro ordenador para su futuro análisis. Los datos
no duran mucho tiempo en el servidor, alegando motivos de política empresarial.
El truco en este caso está en que, para acceder a muchos de
los datos que la aplicación asegura conseguir sin problemas, tenemos que
suscribirnos pagando dinero real: los precios varían según la licencia y el
tiempo activo que queramos estar en la plataforma. Una de las muchas señales
que parecen denotar que hay gato encerrado, aparte del cutre diseño que gasta
la página.
Nos hemos puesto en contacto con el desarrollador para que
nos diera acceso a la versión completa del servicio, con la intención de probar
todas las funcionalidades que dice tener. No hemos recibido ninguna respuesta
hasta ahora, por lo que hemos pasado a deducir sus funciones a partir del
código que podemos analizar.
Qué es la aplicación en realidad
La primera sorpresa llega al analizar el .apk en conjunto:
se trata de Android.Spyoo, un troyano para Android reconocido en las bases de
datos de Symantec. Lo mejor de todo es que este troyano tiene la función de
guardar y enviar datos concretos a un servidor remoto. ¿Qué curioso y
conveniente, verdad?
No nos hemos quedado en la superficie, y también hemos
analizado el código de la aplicación, para descubrir si hay más trucos, y si
hace todo eso en realidad. Las primeras pruebas dan a entender que tiene la
capacidad para recopilar todos esos datos que afirma capturar, pero el análisis
del código es mucho más sorprendente de lo que nos esperábamos.
La aplicación se aprovecha del acceso root para cambiar los
permisos de las carpetas que utilizan las aplicaciones de mensajería, haciendo
que pasen a estar bajo el control de la aplicación. Para los entendidos en
Linux, es como si hiciéramos un chmod 777 a todas esas carpetas, pero con
código en vez de comandos. De esta forma sólo necesita preguntar una vez por
los permisos root, y pasa desapercibido para el usuario el resto del tiempo.
Todas las aplicaciones de mensajería comunes que utilices
estarían comprometidas, en resumen: WhatsApp, Viber, Facebook, Skype, Yahoo!
Messenger, Hangouts, BlackBerry Messenger, Line, KIK… y nos dejaremos algunas
por el camino, aunque la peor parte se la llevan los usuarios de iOS, dado que
es capaz de capturar hasta las pulsaciones del teclado.
Siguiendo con el tema de las aplicaciones de mensajería que
son vulnerables, no sólo se limita a jugar con las carpetas, porque también se
queda pendiente de las notificaciones para detectar las notificaciones que son
mensajes. Es decir: las intercepta, almacena su información, y las deja
continuar como si no hubiera pasado nada.
Por otra parte, no sólo se queda con las aplicaciones de
mensajería, porque la lista de datos que puede capturar es inmensa: registros
de aplicaciones, llamadas, contactos, localización GPS, mensajes, fotos tomadas
con la cámara, URLs visitadas… y lo más inquietante de todo, es capaz de grabar
llamadas y activar el micrófono en cualquier momento para grabar lo que sea que
se escuche en el ambiente.
Por si todo esto no fuera suficiente, se oculta en el
sistema bajo nombres conocidos, con el objetivo de aparentar tranquilidad si
buscamos los nombres. Por ejemplo, utiliza el nombre de FFmpeg para crear la
carpeta donde guarda temporalmente los datos, y el proceso se llama
“system_server” (como podéis ver en las capturas de Android) con el objetivo de
parecer ser del sistema. Eso, y enmascarar las direcciones donde envía los
datos con nombres conocidos como “iCloudApp”.
Y quizás lo más preocupante de todo es que, en nuestra
búsqueda por más detalles, nos hemos topado con varios archivos de código en
blanco, en una carpeta llamada “core”. Parece que nos hemos encontrado con el
núcleo de las funciones de la aplicación, pero por desgracia su código está
oculto para hacer imposible su análisis.
Como veis, es capaz de sacar muchísimos datos de nuestro
dispositivo, incluso del micrófono y de las cámaras. Por suerte, la vigilancia
no llega al nivel de iOS (acceso completo al sistema y a las pulsaciones que
hace el usuario, todo un riesgo para la seguridad) gracias a que Android
ejecuta cada aplicación en un sandbox, y esta aplicación no tiene forma de
salir de su caja de arena.
Sin embargo, tener la aplicación funcionando en nuestro
Android es un riesgo notable a nuestra privacidad y seguridad, como
comprenderéis. Lo malo de esto es que no hay sólo una aplicación que se dedique
a esto, porque podemos encontrar más de una exactamente igual si usamos el
mismo nombre en una búsqueda
Y lo peor de todo es que es delito si lo utilizas en un
dispositivo que no es tuyo, o si lo utiliza alguien que no sabe que está siendo
espiado, algo que os comentamos ahora mismo.
Piensalo dos veces antes de hacerlo
Parejas celosas, jefes abusivos, padres controladores,
amigos capullos… antes de que corráis a buscar la aplicación, os recomiendo que
leáis este párrafo, porque os interesa mucho si vivís en España. En el sentido
de que puedes ir a la cárcel si lo intentas, así que sigue leyendo.
El uso de este tipo de aplicaciones puede ser legítimo en
casos específicos, pero la aplicación se anuncia como un espía que instalar en
un dispositivo ajeno. Instalar una aplicación así en el teléfono de otra
persona para acceder a sus comunicaciones es delito, en resumen. El caso sería
dudoso en el caso de que se haga con el dispositivo móvil de un trabajador,
sólo si se comunica con antelación al trabajador que su móvil está haciendo
todo eso.
Eso que os acabo de comentar está considerado como un delito
de revelación de secretos según el Artículo 197.1 del Código Penal, con penas
de entre 1 y 4 años de prisión, y multas de 12 a 24 meses de duración. Además,
vulnera la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal
(con posibles sanciones administrativas), y supondría una violación flagrante
del derecho fundamental a la intimidad y el secreto de las comunicaciones,
artículo 18 de la Constitución Española.
En todo caso, estar prevenidos de esta amenaza es bastante
sencillo, y son los consejos de siempre: no instalar aplicaciones que no sean
de confianza, usar la verificación de aplicaciones de Google, y evitar instalar
aplicaciones que no vengan de canales reputados como Google Play o Amazon
AppStore. Eso, y tener siempre controlado nuestro Android, para evitar que otro
pueda venir y hacerlo por nosotros.
No sólo la aplicación de la que hablamos hoy utiliza este
método, muchas más también lo utilizan con tal de obtener información, y
conviene conocer cómo funcionan para evitarlas. Eso, y evitarnos pasar una
temporada en la sombra por incumplir con la ley.
Desde aquí queremos darle las gracias a Ismael Reyes
(desarrollador de RedInput) por ayudarnos a analizar el comportamiento de la
aplicación. También queremos agradecer a Sergio Gómez Salvador (abogado en
Gómez Salvador & Paños Olaiz Abogados) y a Victor Salgado Seguín
(socio-director de Pintos & Salgado Abogados) su asesoramiento en la parte
legal de este artículo. Su asesoramiento tiene fines meramente informativos:
acude a un abogado en caso de que necesites consejo profesional.
0 comentarios:
Publicar un comentario