Inventario de las amenazas latentes en los dispositivos móviles

Por: Jimmy Shah

Investigador de seguridad móvil de McAfee.

Santa Clara, California (USA).

En la actualidad, la confidencialidad de sus datos personales está sometida a un acoso permanente. Los ciberdelincuentes disponen de una amplia variedad de formas de hacer dinero a sus expensas mediante el robo de su información de identificación, fotos y otros datos de carácter privado.

Un smartphone contiene una gran cantidad de información que puede identificarle: nombre, números de identificación, direcciones (físicas y electrónicas), etc. Este tipo de información es útil tanto para empresas de publicidad como para ladrones de identidad. Los primeros probablemente utilizarán la información para intentar venderle productos legítimos, pero los segundos la utilizarán para conseguir un beneficio a su costa.

Un smartphone roto o inutilizado no tiene ningún valor para los agresores, pero la recopilación de información personal es un regalo muy jugoso. Un agresor puede utilizar sus datos para solicitar tarjetas de crédito o para acceder a otras cuentas en las que haya dinero almacenado (por ejemplo, Skype u otros programas de mensajería instantánea). Si eso les va a suponer demasiado esfuerzo, pueden empaquetar sus datos personales con los de otras muchas víctimas y revenderlos a delincuentes u organizaciones criminales de mayor envergadura.

Aplicaciones invasoras de la privacidad

Existe una gran diversidad de amenazas móviles que ponen en peligro la vida privada de los usuarios: de las más simples, que únicamente requieren la instalación de una aplicación estándar, a las más complejas, que aprovechan vulnerabilidades en el sistema operativo para hacerse con el control del smartphone. OSX/iPHSponey.A es un ejemplo de amenaza simple.

OSX/iPHSponey.A es una aplicación de spyware para el iPhone creada por el desarrollador Nicolas Seriot como prueba de concepto. Está diseñada para utilizarse únicamente con interfaces API autorizadas por Apple. Su objetivo es crear una aplicación que utilice solamente funciones permitidas para recopilar la mayor cantidad de datos posible del teléfono.

La aplicación es capaz de recopilar datos de otras aplicaciones interesantes, como Safari, YouTube, el correo y la libreta de direcciones, etc. Estos datos se envían posteriormente al agresor a través del correo electrónico.

OSX/iPHSponey.A también puede acceder a la caché del teclado, que conserva prácticamente todas las palabras pulsadas por el usuario en la pantalla. Contraseñas, mensajes confidenciales o cualquier otro tipo de información de carácter privado que hubiera introducido en el navegador o en otras aplicaciones podía ser interceptado por el spyware.

La amenaza real que suponía este spyware es limitada, porque se distribuye únicamente como código fuente y la dirección de correo electrónico de informes está codificada. Esto permite identificar al agresor y cerrar una cuenta de forma relativamente fácil.

J2ME /VKonPass.A es otro tipo de ataque simple. Se trata de una aplicación Java que se hace pasar por un cliente móvil de Vkontakte, un sitio de red social ruso muy popular. En realidad esconde una aplicación de phishing. Cuando el usuario introduce su nombre de usuario y su contraseña para iniciar una sesión en un smartphone, la aplicación muestra un mensaje de error de comunicación en segundo plano y envía por correo electrónico las credenciales de inicio de sesión al ciberdelincuente. Puesto que la dirección de correo electrónico del autor del malware está codificada en la aplicación, una vez más, resulta fácil acabar con las actividades del ciberdelincuente.

Secuestro de sesiones en redes sociales

A finales del año pasado, el investigador Eric Butler publicó una extensión para el navegador web Firefox llamada Firesheep. Esta extensión permite a un delincuente secuestrar las sesiones de navegación web de víctimas inocentes.

La herramienta no era el origen del ataque, sencillamente facilitaba su ejecución mediante la creación de un ataque de tipo «apuntar y hacer clic«. El agresor puede situarse en un espacio público (una cafetería, por ejemplo) con un ordenador portátil y esperar a que la gente inicie una sesión en Facebook, en Twitter o en otros servicios. Cuando lo hacen, Firesheep le permite acceder a las cuentas con las credenciales de las víctimas.

Recientemente, el investigador Bartosz «ponury» Ponurkiewicz ha desarrollado una herramienta similar, FaceNiff, para smartphones con el sistema operativo Android. En la escala de amenazas móviles contra la información privada, esta aplicación se encuentra en un nivel de complejidad medio a alto.

Al igual que Firesheep, FaceNiff supervisa su conexión Wi-Fi local y espera a que se realicen inicios de sesión en sitios de redes sociales o de comercio electrónico populares, como Facebook o Amazon. La aparición de una aplicación para Android que permite robar cuentas simplifica el trabajo del ciberdelincuente ocasional. Para iniciar una sesión en una cuenta, solo necesita pulsar en una cuenta capturada.

De manera predeterminada, FaceNiff permite al agresor secuestrar únicamente tres sesiones de Facebook. Ponurkiewicz vende el acceso a más redes sociales por una pequeña cuota de registro. La utilidad FaceNiff para Android es más compleja que OSX/ iPHSponey. A, pero sigue siendo una amenaza menor, ya que requiere un teléfono Android con acceso raíz (root) para acceder a la red. Además, hay una serie de medidas que permiten a los usuarios evitar el secuestro de sesiones:

• Utilizar versiones de inicio de sesión seguras (https://) de los sitios web.
• Utilizar Firefox e instalar la extensión HTTPS Everywhere de Electronic Frontier Foundation.
• Utilizar una red privada virtual.

Los peligros del jailbreaking y del rooting

El jailbreaking (en el caso de los iPhone) o el rooting (en el caso de los smartphones Android) permiten «desbloquear» el teléfono y tener acceso a funciones y opciones de personalización del teléfono adicionales, pero también contribuyen a reducir la seguridad del sistema. En el pasado, los agresores han creado gusanos para iniciar sesiones en dispositivos iPhone desbloqueados y modificar el papel tapiz o lanzar ataques de phishing. Algunos han escrito programas avanzados basados en el modelo de un caballo de Troya, que utilizan el acceso raíz a teléfonos Android para impedir la eliminación del malware.

Estos autores todavía no han podido aprovechar todos los fallos de seguridad de un teléfono desbloqueado. Los investigadores de seguridad están llevando a cabo en la actualidad investigaciones avanzadas a este respecto. El año pasado, Eric Monti realizó una demostración de un ataque avanzado contra un iPhone desbloqueado durante el transcurso de la conferencia ToorCon. Utilizó una versión modificada del exploit Jailbreakme.com para instalar de forma silenciosa un rootkit en el teléfono. Una vez instalado, inició una sesión e interceptó una transacción con tarjeta de débito gestionada por una conocida aplicación de proceso de tarjetas de crédito. Puesto que disponía de acceso raíz, pudo robar fácilmente toda la información de contacto, mensajes de correo electrónico y SMS, además de contraseñas.

Un ataque que permite obtener acceso raíz sobre su Smartphone e instalar un rootkit se encuentra en la parte más alta de la escala de amenazas móviles contra los datos confidenciales de los usuarios. Afortunadamente, los autores de malware y de los ataques no han desarrollado hasta el momento su propios exploits de este género.

Riesgos de la piratería de software

La piratería de software no solo afecta a los desarrolladores, sino que ha sido desde hace tiempo un vector importante de propagación de nuevo malware y spyware desarrollado para entornos móviles. Ponurkiewicz, el autor de FaceNiff, diseñó una herramienta que puede utilizarse para piratear cuentas, e intenta conseguir un beneficio económico a través de la venta de funciones adicionales. Al igual que los desarrolladores de software legítimo, ha sufrido las consecuencias de la piratería. Tres días después de distribuir la última actualización de FaceNiff, un emprendedor cracker de software modificó la aplicación y publicó una versión que no requiere la compra del código de activación vendido por Ponurkiewicz.

En la piratería de software, son los usuarios los que corren el mayor riesgo. Hemos observado un importante aumento del número de autores de malware que utilizan aplicaciones legítimas para ocultar su código malicioso. En lugar de crear troyanos personalizados, como J2ME/Vkonpass.A, los autores de malware reutilizan juegos y utilidades.

La ventaja de esta técnica reside en el hecho de que las víctimas van a descargar lo que parece una versión pirateada de una aplicación legítima sin saber que ponen en riesgo su información personal. En algunos casos, la versión pirateada podría ser más popular que la aplicación original. Ha habido un cierto número de amenazas conocidas contra Android que han conseguido aprovechar de forma muy eficaz aplicaciones pirateadas. Estos ataques contra la información confidencial de los entornos móviles son muy diversificados en cuanto a su complejidad.

Android/SteamyScr.A es un ejemplo interesante de malware compuesto por código malicioso inyectado en una aplicación nueva. La aplicación legítima le permite dibujar en la pantalla como si se tratara de la puerta empañada de una ducha. Se trata de una aplicación sencilla y muy popular; el malware, sin embargo, es complejo. Inicialmente, envía a los agresores información (identificadores exclusivos para teléfonos móviles, ID de tarjetas SIM) que les permite identificar su teléfono de forma precisa.

El objetivo es sin duda ofrecer a los agresores la posibilidad de generar una lista de infecciones exclusivas. Tras esa etapa, lleva a cabo otras acciones, como suscribir a la víctima a una serie de servicios SMS de pago. SteamyScr.A reenvía toda la información de la víctima al agresor y también es capaz de instalar otros programas de software en el smartphone sin permiso del usuario.

Android/Jmsonez.A es malware inyectado en una aplicación de calendario real. Unos de los efectos secundarios de tener el código malicioso dentro de la aplicación es que provoca que el calendario funcione de manera incorrecta. Cada vez que se abre el calendario, muestra el mes de enero, independientemente del mes real. Pero eso no es lo peor, ya que, al igual que en el caso de SteamyScr.A, Jmsonez.A suscribe además a la víctima a un servicio por SMS muy costoso. Para evitar ser detectado, elimina todos los mensajes de confirmación que el servicio de suscripción envía al usuario.

Los servicios SMS por suscripción constituyen una amenaza para su privacidad más grave que el coste de los mensajes. Por lo general, estos servicios consiguen la información de facturación de las víctimas (por ejemplo, direcciones) que pueden utilizar para lanzar nuevos ataques o revenderla a otros ciberdelincuentes.

Los autores de Android/DroidKungFu.A van un paso más allá. Al tratarse de la piratería de una sola aplicación, es posible evitar la amenaza sin demasiada complicación. DroidKungFu.A se inspira en otras familias de malware complejas que atacan al sistema operativo para Android, como Geinimi y Android/DrdDream. Su código se incluye en una serie de aplicaciones, incluidos varios juegos. A igual que DrdDream, DroidKungFu. A también utiliza dos exploits que utilizan el acceso raíz para reducir la seguridad del sistema y mantenerse en el equipo.

Puesto que DroidKungFu.A puede obtener acceso raíz a su smartphone, puede apoderarse fácilmente de todos los datos personales (contactos, mensajes SMS, mensajes de correo electrónico, etc.) que almacene en su sistema. También puede instalar adware, spyware o versiones actualizadas de sí mismo, que comprometen aún más la confidencialidad de sus datos. El agresor puede hacerse con el control de un smartphone infectado para visitar determinados sitios web, que podrían exponerlo a otros riesgos, como fraudes del clic, ataques de phishing u otras infecciones.

Fugas de información

Su smartphone no es necesariamente la fuente de invasiones de su vida privada. En ocasiones, los responsables pueden ser otros dispositivos de su propiedad. El coche eléctrico Nissan Leaf está equipado con una conexión de datos para móviles GSM. Básicamente, podemos decir que este coche tiene su propio smartphone.

La conexión de datos envía al fabricante información sobre el consumo de combustible y recibe actualizaciones de noticias de distintos flujos RSS. Por razones de eficiencia energética, para Nissan resulta útil conocer su ubicación geográfica, su velocidad, su dirección, así como las coordenadas de su destino. No resulta tan útil que un sitio web de noticias disponga de la longitud y latitud actual de su vehículo en los registros de sus servidores web.

La funcionalidad de geolocalización está destinada al servicio Carwings. Los proveedores de información pueden utilizar su posición para personalizar los datos que envían (por ejemplo, la estación de servicio o el área de descanso más cercanas).

Amenazas futuras

Los ciberdelincuentes que van detrás de la información personal que contienen los smartphones están de suerte. Aunque el coche eléctrico equipado con un smartphone le solicita autorización antes de activar sus funciones de envío de datos, los smartphones incorporados del futuro puede que no tengan tanta cortesía. A medida que aumente la información de identificación personal controlada por hardware inteligente, mayor será la probabilidad de que el hardware se convierta en blanco de ataques.

El CAESS (Center for Automotive Embedded Systems Security), una iniciativa conjunta de dos universidades, ha demostrado la viabilidad de un ataque lanzado mediante la inserción de un CD con archivos MP3 maliciosos en el equipo de audio: el malware se hace con el control del ordenador de la unidad de control del motor del vehículo. Los miembros del equipo consiguieron detener un vehículo en marcha controlando el motor, pero también podrían haberse apoderado de datos personales. En el futuro, los agresores concentrarán probablemente sus esfuerzos en todas las áreas y dispositivos que almacenen datos personales.

Fuente: High Results.

---