Amenazas en apps: fotos personales y troyano «Bluetooth»

Esta semana, nos fijaremos en dos posibles maneras de que nuestra información personal acabe expuesta en la red. La primera se refiere a las apps de transmisión de imágenes, que acaban con las mismas en un servidor accesible públicamente. Este es el motivo por el que los expertos en seguridad se ponen nerviosos con Snapchat.

La segunda forma es un extraño troyano de Android que espía nuestras llamadas y SMS. ¿Es la última pieza de tecnología de espionaje «de estado» o una alarmante forma de espiar para un tercero? Sea lo que sea, es el resultado de un trabajo de expertos.

Amenazas en apps móviles descubiertas

Postagram Postcards

La aplicación Postagrams Postcards (postales) no es maliciosa -de hecho, es una buena idea-. Por 0,99$, Postagram Postcards convertirá en formato postal cualquier imagen digital que tengamos en un servidor público y lo enviará a un destinatario de nuestra elección.

Pero si pensamos que las imágenes enviadas con Postagram solo las verá el destinatario, nos equivocamos. Según explican los expertos de Appthority, muchas otras aplicaciones que no son Postagram también acaban publicando imágenes nuestras en servidores públicos.

Pero aún, algunos de estos servidores emplean servicios convencionales de predicción de nombres, por lo que alguien con un poco de idea podría filtrar aquellas que le interesen a su conveniencia.

Las imágenes de Postagram son alojadas públicamente en Amazon Cloud-front. Si tenemos la URL adecuada, visualizar las fotografías de otra persona es una cuestión de simplemente cambiar el nombre numérico antes de la extensión «JPG» situada al final. Mientras no podemos perseguir las fotos concretas de una persona a nuestra elección, podemos presenciar momentos altamente personales. Se han podido observar fotos de bebés recien nacidos, imágenes de vacaciones e incluso fotos más intimas y personales que no desearíamos que nadie descubriese.

Lo admitimos, Postagram es un caso interesante porque la naturaleza del servicio implica que los intermediarios verán esas imágenes -los carteros o transportistas, quien imprime las fotos, etc. Pero los usuarios no deberían asumir que su información es privada solo porque lo deseen.

Aplicación Bluetooth maliciosa

La empresa de seguridad F-Secure ha descubierto recientemente un troyano clásico que convierte nuestro teléfono en una aspiradora de información personal. Se disfraza en forma de app de Bluetooth, y se llama simplemente Bluetooth. Una vez instalado, el programa requiere privilegios administrativos al sistema y empieza a ejecutarse en segunndo plano sin nuestro conocimiento.

Los analistas de malware de F-Secure afirman que la app se fija en nuestras llamadas de teléfono y SMS enviados/recibidos. Cuando detecta algo que le interesa, lo graba y envía la información a un servidor remoto, junto con LOGS del teléfono. Las aplicación también puede enviar y recibir SMS por sí misma e incluso sobre-escribir el tono predefinido del smartphone por otro diferente.

Peor aún, la aplicación se vuelve realmente difícil de eliminar. Cualquier intento de desactivar o desinstalar la aplicación es impedido. «La aplicación puede también desintalar ciertas aplicaciones de seguridad si el teléfono ha sido rooteado», afirman los investigadores.

Lo que resulta aún más extraño de esta aplicación no es que robe información personal, sino el hecho de que no parece existir una motivación o conexión económica hacia el mismo. Esto sugiere que podría estar siendo usada como parte de un mayor espionaje tipo APT (Advanced Persistent Threat) para deshacer sistemas de seguridad de Autenticación en dos pasos o mantener la mirada sobre ciertos objetivos. Sea cual sea la razón, la mejor forma de evitar aplicaciones como esta es mantenerse alejado de Tiendas o Stores de terceros y únicamente proporcionar privilegios de Administrador a aquellas apps en las que confiemos plenamente.