Un equipo de investigadores de la Universidad Estatal de Carolina del Norte, de Estados Unidos, ha hecho público lo que quizás sea el malware para Android más peligroso que se haya descubierto hasta el momento en su categoría. Se trata de un troyano que aprovecha el exploit GingerBreak, aplicable a Android 2.3 Gingerbread y a muchas versiones anteriores del sistema, con el objetivo de obtener privilegios de root y tomar el control total del dispositivo.
GingerMaster, nombre que recibe este troyano, incorpora muchas de las características de la creciente familia de malware para Android que circula actualmente en sitios web de terceros, especialmente en repositorios no oficiales de aplicaciones en China, pero con algunas novedades tan interesantes como peligrosas. El malware fue analizado por los investigadores de la Universidad Estatal de Carolina del Norte con el apoyo de la compañía china de seguridad móvil NetQin, que colaboró en el estudio del comportamiento del código malicioso y de sus técnicas de distribución.
Cómo se distribuye GingerMaster y dónde se esconde
Integrado en una aplicación aparentemente legítima diseñada para mostrar fotografías de mujeres, GingerMaster captura el máximo de los datos personales del usuario, incluyendo su número de móvil y su IMEI, y los envía a un servidor remoto. Siguiendo la línea de otros troyanos móviles, suele aparecer re-empaquetado dentro de apps populares (juegos, utilidades o apps de contenido adulto) que se suben a tiendas de terceros sin control de seguridad.
Según los análisis de los investigadores, el exploit se encuentra escondido dentro del archivo .apk de la aplicación modificada, bajo el nombre gbfm.png, con el objetivo de no llamar la atención. Aunque parece una simple imagen, en realidad se trata de un binario explotable que aprovecha la vulnerabilidad conocida como GingerBreak. Además de este archivo, se han identificado otros ficheros con extensión .png que en realidad son scripts o componentes del troyano, como por ejemplo installsoft.png, que se utiliza más adelante para instalar software adicional de forma silenciosa.
Para poder observar estos archivos dentro de la aplicación, es necesario descomprimir el APK. Una vez hecho esto se puede apreciar el archivo AndroidManifest.xml, que contiene los permisos solicitados por la aplicación, y dentro de la carpeta «assets» se alojan los scripts y el exploit camuflados como imágenes. Todo este empaquetado está pensado para evadir inspecciones superficiales y engañar tanto a usuarios como a algunas herramientas de análisis poco profundas.
Qué hace GingerMaster en el dispositivo infectado
A continuación, el servidor comienza a descargar el malware, que explota el hack GingerBreak y que, una vez instalado, toma por completo el control del smartphone Android. GingerMaster funciona como un troyano con capacidades de root: cuando el código malicioso se ejecuta por primera vez, modifica el sistema para que, al finalizar el arranque, se active un servicio en segundo plano que permanece residente.
Ese servicio en segundo plano se encarga de recolectar información del dispositivo y del usuario (IMEI, número de teléfono, datos de red, versión del sistema, posibles credenciales, SMS y otra información sensible) y enviarla a un servidor de comando y control (C&C) remoto. Gracias a los privilegios de root obtenidos mediante el exploit GingerBreak, el atacante puede además realizar cambios profundos en la configuración, modificar archivos del sistema y instalar otros códigos maliciosos de forma completamente invisible para el usuario.
En primera instancia, una vez ejecutado el exploit, se procede a instalar y ejecutar una shell con permisos de root, logrando así realizar cualquier acción dentro del sistema operativo: desde añadir o borrar aplicaciones, hasta alterar parámetros de seguridad. Posteriormente, cuando desde el centro de control el código malicioso recibe la orden de instalar nuevas amenazas, se utiliza el archivo installsoft.png como script para gestionar la descarga y la instalación silenciosa de ese software adicional.
Este enfoque convierte a GingerMaster en una plataforma de entrada para otros tipos de malware móvil, capaz de transformar el smartphone en parte de una botnet o de prepararlo para fraudes bancarios, robo de identidad digital o suscripciones a servicios de SMS de pago, dependiendo de lo que el operador del C&C decida desplegar en cada dispositivo comprometido.
Por qué GingerMaster se considera tan peligroso
Google ha parchado la vulnerabilidad tan pronto como fue descubierta en abril, pero es poco probable que todos los usuarios hayan recibido la actualización, especialmente en dispositivos antiguos que dependen de los operadores y fabricantes para distribuir los parches. Muchos operadores se muestran reacios a ofrecer soluciones a menos que sea absolutamente necesario, dada la cantidad de servicios de apoyo técnico que ello supone y el coste asociado a mantener versiones antiguas.
El exploit GingerBreak en el que se basa GingerMaster es capaz de funcionar en más del 90 % de los dispositivos con Android de su generación, vulnerando no solo la versión 2.3, sino también muchas versiones anteriores. Este altísimo porcentaje de compatibilidad, unido a la capacidad del troyano para obtener permisos de administrador y para instalar otros códigos maliciosos, hace que se sitúe entre las amenazas móviles más peligrosas de su época.
Al igual que otros troyanos avanzados, GingerMaster se comporta como un malware dinámico: no solo roba información del usuario, sino que también puede convertir el smartphone en un zombie dentro de una red de dispositivos comprometidos, desde la que se pueden lanzar campañas de spam, ataques distribuidos (DDoS), fraudes publicitarios o intentos masivos de acceso a servicios en línea.
Además, su diseño modular y su integración en aplicaciones atractivas para el usuario (fotos, juegos o contenido gratuito) lo convierten en una amenaza especialmente efectiva desde el punto de vista de la ingeniería social. El usuario cree estar instalando una app inocente y, sin advertirlo, está otorgando permisos peligrosos y abriendo la puerta a un centro de control remoto capaz de hacer prácticamente de todo con el móvil, incluyendo el espionaje de datos personales como el número de teléfono o la información identificativa del dispositivo.
Todo este escenario, unido a la amplia cuota de mercado de Android y a la posibilidad de instalar aplicaciones mediante tiendas de terceros o archivos APK descargados directamente, explica por qué GingerMaster y otros troyanos similares han marcado un antes y un después en la seguridad de los dispositivos móviles y por qué siguen siendo una referencia obligada a la hora de entender la evolución del malware en Android.
Frente a amenazas de este tipo, la combinación de parches de seguridad actualizados, descarga de aplicaciones solo desde fuentes confiables, revisión cuidadosa de los permisos solicitados por cada app y el uso de soluciones de seguridad móvil especializadas sigue siendo la mejor estrategia para minimizar riesgos en Android.