Android/NoComA: falsas actualizaciones e instalación de malware
mayo 16, 2012 3:54 pmDurante los últimos días se ha hablado acerca de Android/NoComA, una nueva amenaza para la plataforma móvil de Google que es utilizada para instalar falsas actualizaciones de Android. Este código malicioso se propaga a través de páginas web que han sido vulneradas, en dónde se inyectó código malicioso para afectar a los usuarios de Android, presenta ciertas características que representan un riesgo para la seguridad del usuario. Hoy vamos a hablar acerca de algunas particularidades de esta amenaza y entender como se conecta a los servidores remotos una vez que infecta el dispositivo. Además repasaremos la estructura de la amenaza para ver de qué manera mitigar el impacto de este malware.
Para entender el alcance de NotCompatible primero necesitamos observar la información dentro del AndroidManifest.xml, dicho archivo contiene información básica de las aplicaciones para Android, como por ejemplo los permisos, actividades y servicios. A diferencia de otras amenazas para esta plataforma, Android/NoComA, no solicita una gran cantidad de permisos y tampoco utiliza con un exploit para obtener permisos de root (Administrador del dispositivo). Para su ejecución solicita acceso a Internet, al estado de red y además también es notificado cuando finaliza el inicio del sistema. En la siguiente captura podemos observar el contenido del archivo AndroidManifest.xml en dónde se filtran los eventos de inicio del Sistema Operativo (BOOT_COMPLETED) o la interacción del usuario (USER_PRESENT) para disparar la ejecución de OnBootReceiver que dará inicio a la ejecución de la amenaza en el sistema:
Cómo mencionamos anteriormente, la ejecución de la amenaza en el sistema se dispara a través de dos eventos en particular. El primero de ellos es para asegurarse la ejecución del código malicioso ante el inicio del sistema y el segundo, para poder interactuar con el usuario. El objetivo final de este código malicioso no es robar información, sino que busca engañar al usuario para que instale falsas actualizaciones de seguridad en el sistema, lo que podría llevar a la infección de distintos tipos de amenazas mediante el uso de Ingeniería Social. Lo que realmente hace este malware detectado por ESET Mobile Security como Android/NoComA, es crear una conexión a un servidor remoto desde dónde se descargan supuestas actualizaciones y se reciben comandos.
Ver ms… »
Instagram: peajes virtuales y troyanos SMS
mayo 4, 2012 4:47 pmCuando hablamos acerca de amenazas para los dispositivos móviles encontramos de manera muy frecuente a los troyanos SMS entre las de mayor índice de propagación. Este tipo de códigos maliciosos engañan a los usuarios a través del uso de técnicas de Ingeniería Social simulando ser aplicaciones o video juegos para suscribir a las víctimas a servicios de menajes premium. Además de esta técnica de infección, existen algunas menos conocidas, como por ejemplo la utilizada por el troyano Android/TrojanSMS.Boxer que compartiremos en el post de hoy.
Simulando ser un instalador de la conocida aplicación Instagram en su versión para Android, logra persuadir al usuario. Al momento que se instala la aplicación maliciosa el usuario debe aceptar los términos y condiciones para que luego se contacte a una dirección URL remota y descargue la aplicación. Veamos un poco más en detalle cómo funciona este código malicioso y la información que oculta.
Para iniciar el análisis de este código malicioso, utilizamos el emulador de Android que viene con el SDK (Software Development Kit), al hacerlo creamos una imagen con la versión 2.2 del sistema operativo con el objetivo de entender en detalle cuáles son las actividades realizadas. El primer paso es corroborar los permisos solicitados por la aplicación, cómo pueden ver, requiere permisos para el envió, lectura y recepción de mensajes de texto:
Ver ms… »
Primer malware que utiliza drive-by download en Android
mayo 3, 2012 6:33 pmEstá muy claro que las técnicas de propagación e infección de malware son cada vez más complejas. La prueba de este hecho es la aparición de una nueva amenaza para dispositivos móviles, específicamente Android, que se está propagando a través de páginas web y ataques “drive-by download”.
Según Lookout Mobile, este es el primer ataque dirigido a dispositivos móviles con sistema operativo Android que utiliza la técnica de “drive-by download” para infectar a los equipos. Aparentemente el nuevo troyano simula ser una actualización y se aloja en el equipo bajo el nombre de “update.apk”.
¿Cómo se produce la infección?
Existen sitios web que se encuentran infectados con este tipo de malware. Específicamente, fueron inyectados con código que utilizan iframes para conectarse a sitios remotos y descargar el malware. Generalmente el código se encuentra al final del sitio web y utiliza etiquetas propiamente configuradas, como por ejemplo la etiqueta style con el valor hidden, para ocultarse de la vista del usuario.
Por lo tanto cuando un usuario navega por el sitio comprometido, automáticamente comienza la descarga de la amenaza. Cuando finaliza la descarga, el sistema operativo informa al usuario mediante una notificación para que autorice la instalación de la supuesta actualización. Aquí es donde entra en juego el engaño de que la amenaza es una actualización para que el usuario autorice su instalación. Cabe destacar que Android debe tener habilitada la opción de “unknown sources” (fuentes desconocidas) para permitir la instalación de aplicaciones fuera de Google Play porque, de lo contrario, bloquea aquellas que están fuera del market oficial.
Otro aspecto que llama la atención es que cuando se accede al sitio web desde un dispositivo que no utiliza Android, la descarga de la amenaza no se produce. Si ocurre si se accede desde el propio móvil con Android. Esta comprobación se lleva a cabo mediante el user-agent del navegador, el cuál determina desde que plataforma se está accediendo.
Actualmente no se ha descubierto que la amenaza provoque daño al dispositivo, pero si puede ser utilizada para obtener acceso a los datos privados del mismo. Esto puede extenderse al caso de dispositivos móviles que se usan en las organizaciones o empresas con fines comerciales, abriendo la posibilidad del robo de información sensible.
Debido a la aparición de este tipo de amenazas, es importante instalar aquellas aplicaciones que provengan de un sitio de confianza o sean conocidas, así como también contar con una solución de seguridad para dispositivos móviles que permite proteger los datos del usuario y elimine este tipo de malware.
Fernando Catoira
Analista de Seguridad
Dispositivos móviles atraen nuevas amenazas para las compañías
abril 25, 2012 10:30 am
Ya es conocido que los teléfonos celulares inteligentes (smartphones) incorporan cada vez más funcionalidades que le permiten al usuario poder contar con un amplio abanico de herramientas. Pero también existe el riesgo de que diferentes empleados de una compañía lleven estos dispositivos a las instalaciones y utilicen los recursos de la mencionada organización sin ningún tipo de control, pudiendo generar problemas a la empresa.
El concepto BYOD (bring your own device) se refiere, justamente, a que los empleados lleven sus teléfonos celulares a su lugar de trabajo, y utilicen libremente los recursos de la compañía, incluso recursos privilegiados, como por ejemplo email, servidores de archivos, acceso a base de datos, entre otros.
Un estudio realizado por PricewaterhouseCoopers (PwC) en colaboración con Infosecurity Europe determinó que las organizaciones no están haciendo lo suficiente para asegurar sus entornos móviles. Específicamente PwC destacó que el 75% de las grandes organizaciones y el 61% de las PyMEs permiten que sus empleados utilicen Smartphones y tabletas para conectarse a las redes corporativas. Si bien el problema no radica completamente en permitir el uso de las redes corporativas, el foco está en que en muchos casos las compañías no cuentan con ninguna estrategia de seguridad, así como tampoco con ningún tipo de política, cifrado de datos, gestión de dispositivos, entre otros. La mencionada fuente especificó, en referencia a esta situación, que el 34% de las pequeñas compañías y el 13% de las grandes organizaciones no toman ningún tipo de precaución en lo que respecta al uso de dispositivos móviles por parte de sus empleados.
En referencia a estos datos, las compañías deben tomar conciencia y empezar a implementar un plan de gestión en lo que respecta a entornos móviles. Si bien cada compañía puede tener diferentes posiciones frente al uso de dispositivos, tal como prohibir su uso completamente, o permitir el acceso a todos los recursos desde estos dispositivos, es muy importante que se defina una política que especifique claramente cómo gestionar este tipo de recursos.
Algunos consejos que puede servir como punto de apoyo en la implementación de la política son:
- Restringir el acceso a sectores de la compañía que contengan información muy sensible. No todos los recursos deben ser accesibles mediante dispositivos móviles.
- Separar la red WiFi que utilizan los dispositivos móviles de la red corporativa para evitar de esta manera, por ejemplo, que exista un acceso indebido a la red de la empresa.
- Cifrar la conexión que utilizan los dispositivos móviles.
- En caso de permitir que los empleados puedan acceder a todos los recursos de la empresa mediante sus dispositivos móviles, es factible exigirles que bloqueen dicho dispositivo utilizando contraseña. De esta manera se evita la exposición de información sensible de la compañía en caso de extravío o robo.
- Elaborar una política de red que comprenda la existencia de dispositivos móviles.
Está claro que las compañías deben gestionar la utilización de dispositivos móviles porque de lo contrario se encuentran vulnerables a sufrir fuga de información, entre otro tipo de incidentes. Esto lo confirma PwC, que afirmó que un 82% de las empresas aseguraron haber tenido brechas de seguridad por parte de los empleados, de las cuales un 47% asegura haber sufrido pérdida o filtrado de información confidencial.
Para concluir, es recomendable que cuenten con una solución antivirus para móviles, tal como ESET Mobile Security, el cual además de brindar protección al dispositivo de las diferentes amenazas, permite el borrado de datos de forma remota, que puede ser de gran utilidad en caso de extravío o robo.
Fernando Catoira
Analista de Seguridad
