Anserver: el virus para Android que lee blogs

Lunes 03 de Octubre de 2011 11:39 |

Escrito por Marcos González

Estaba claro que los smartphones atraerían, más temprano que tarde, el interés de los creadores de virus y malware. Por múltiples razones:

Su potencia es similar a la de un PC de hace pocos años, lo cual permite ejecutar operaciones maliciosas en segundo plano sin demasiadas restricciones ni que el usuario note una ralentización.
Muchos están conectados permanentemente a Internet.
Son ya millones los equipos vendidos y su aumento va a ser exponencial en los próximos años.
Ya no se trata de un capricho sólo valorado por los usuarios más tecnófilos o los trabajadores que deben estar conectados, sino que se están convirtiendo en un producto de uso generalizado, y por tanto el perfil medio de usuario tiende a alejarse de los más educados técnicamente.

Cada vez pasan menos días entre el anuncio del descubrimiento de un nuevo virus para smartphones y el siguiente. En este caso le ha tocado a Android, con el virus Anserver, que tiene la peculiaridad de ser el primer virus para sistema operativo Android que "lee blogs". Vamos a usarlo como caso de estudio, para ver cómo de expuestos estamos realmente como usuarios.

Según podemos ver en la web de Inteco, este malware es el primero conocido en Android que "lee blogs". El blog malicioso creado para tal efecto contiene mensajes cifrados que el malware interpreta como comandos cuando el usuario lo visita. También puede descargar e instalar aplicaciones adicionales comprometiendo aún más el dispositivo afectado.

Este virus no tiene capacidad de autopropagación, y el método de infección es "semi-automático": es cierto que consigue ser descargado por el smartphone sin el conocimiento del usuario al visitar una página Web infectada; sin embargo, como vimos en el anterior análisis de la seguridad de Android, pedirá al usuario permiso para instalarse y mostrará las partes protegidas del teléfono a las que quiere acceder. Es decir, que el usuario será plenamente consciente de que se le está sugiriendo instalar un programa que él no ha pedido, como ocurre con muchos de los virus clásicos que se intentan instalar al navegar desde un PC.

Por tanto, una vez más, queda claro que el mejor antivirus es una concienciación adecuada en seguridad, que se reduce realmente en tener sentido común o, como se suele decir, "tener dos dedos de frente". Y es que si el usuario, ya sea en su PC o en su smartphone, acepta sin pensar todo mensaje que le aparece cuando navega por la Web, estará irremediablemente expuesto a infecciones, sólo protegido por un antivirus que considere al propio usuario como una amenaza más y analize como sospechosas todas y cada una de las acciones del mismo.

La lista de permisos es lo suficientemente larga como para asustar a cualquiera que pudiera tener duda sobre la intención de esta aplicación que intenta instalarse "de la nada":

Acceder a la configuración de la red
Acceder a Internet
Control del vibrador del teléfono
Desactivar bloqueo del teclado
Hacer llamadas
Lectura de bajo nivel de los archivos de registro
Leer y Escribir Contactos
Reiniciar las aplicaciones
Despertar el dispositivo
Escribir, leer, recibir y enviar SMS

No cabe duda de que el desarrollador podría haberse esmerado un poco más y pedir sólo los permisos que le son necesarios para realizar su tarea. No veo el interés, por ejemplo, en poder desactivar el bloqueo del teclado, o hacer que el teléfono se ponga en modo vibración, teniendo en cuenta que su objetivo es la recopilación de datos personales. Concretamente:

IMEI
IMSI
Fabricante
Modelo
Versión del sistema operativo
Versión de compilación
Nombre de los paquetes de aplicaciónes legítimas
SDK Version

Una vez recopilada la información, se conecta a un servidor con dominio chino para descargar un fichero de configuración que le indica cómo comportarse, y luego envía a este mismo servidor los datos recopilados.

El virus se ejecuta cada vez que se reinicia el teléfono, quedando por tanto siempre residente en memoria. Para saber si estamos infectados tenemos que comprobar en la lista de aplicaciones instaladas si aparece el paquete "com.sec.android.touchScreen.server". Y su eliminación es sencilla: desinstalar del teléfono la aplicación infectada que ha actuado como "caballo de troya".

Como vemos es un virus simple, que no recoge información demasiado comprometedora, ni aprovecha ninguna vulnerabilidad conocida del sistema operativo sino que confía en la inocencia y despreocupación del usuario. Por mucho que los sistemas operativos tengan parcheados todos los agujeros de seguridad, y los antivirus traten de tener firmas de todos los virus, el sentido común del usuario sigue siendo la barrera de protección más importante.