Una cosa es segura: clonar una aplicación es un juego de niños para los ciberdelincuentes.
Las aplicaciones falsas (o clones) son apps móviles Android o iOS que imitan en cierta medida la apariencia y las funcionalidades de una aplicación oficial mientras ocultan actividades malintencionadas, intrusivas o lucrativas.
Algunas de estas operaciones pueden ser benignas, como la publicidad masiva con el fin de obtener beneficios. En otros casos pueden ser más dañinas, al recuperar datos monetizables en el terminal del usuario final o al introducir un programa malicioso (troyano bancario, keylogger, ransomware, etc.).
Este artículo presenta las razones de la proliferación de los clones de aplicaciones y por qué son tan fáciles de construir para un ciberdelincuente cualquiera.
La ingeniería inversa siempre triunfa
El primer paso para crear una aplicación falsa es comprender su código inicial. Las aplicaciones Android son un objetivo preferente, porque solo se necesita el archivo APK para transformar la aplicación en un código legible para una persona. Cualquier búsqueda en la web proporciona fácilmente herramientas que permiten restituir las aplicaciones de forma comprensible. Bastan unas pocas manipulaciones para tener una visión clara de las principales funcionalidades de la aplicación.
A partir de ahí, resulta muy fácil añadir prácticamente cualquier cosa a la aplicación: una biblioteca de publicidad, un malware, pedir más permisos y recolectar datos personales…
Es cierto que una aplicación ofuscada será más difícil de modificar. Pero, citando los términos del Mobile Security Testing Guide de la Fundación OWASP: «la ingeniería inversa siempre gana». Si los desarrolladores intentan poner las cosas lo más difíciles posible utilizando medios sigilosos de antimanipulación, criptografía, etc., se trata de una carrera hacia delante en la que los atacantes, en algún momento, superarán las distintas barreras establecidas.
Una puerta abierta en las aplicaciones
Casi todas, por no decir todas las aplicaciones, integran bibliotecas. Existen muchas, muy utilizadas para la publicidad, la gestión de accesos…
Examinemos más de cerca un caso concreto de manipulación de código malicioso (code tampering) centrándonos en las bibliotecas publicitarias. Hoy, un gran número de aplicaciones móviles integra publicidad para obtener beneficios, sobre todo las gratuitas. Conociendo la biblioteca objetivo, el delincuente puede localizar las funciones de llamada donde se define el identificador del anuncio que se va a promocionar. Le resulta entonces muy fácil insertar su propio identificador, reempaquetar la aplicación e intentar distribuirla. De forma más malintencionada, podría pedir más permisos en el arranque y luego exfiltrar datos sensibles (registro de llamadas, lista de contactos, archivos de empresa…).
Otros tipos de bibliotecas, como las de gestión de accesos, podrían desviarse para engañar al usuario y llevarle a facilitar sus credenciales.
Por último, los clones de aplicaciones se distribuyen por múltiples medios: tiendas de aplicaciones de terceros, campañas de ingeniería social, phishing, etc., pero también en las tiendas oficiales.
Un estudio reciente de Cybernews reveló que un centenar de aplicaciones difundidas en Google Play, con un total de 69 millones de instalaciones, eran clones. Los controles de seguridad efectuados por los sistemas de seguridad de las tiendas se limitan a verificar que no haya ningún malware conocido integrado en la aplicación, para impedir la expansión de célebres troyanos, ransomware, etc. Cualquier biblioteca que exfiltre datos personales o solicite autorizaciones abusivas no será detectada y permanecerá por tanto invisible a los ojos del usuario.
¿Por qué los usuarios se alejan de las tiendas oficiales?
El ejemplo anterior muestra que las tiendas no están libres de clones. Pero los usuarios también descargan voluntariamente clones en tiendas de terceros sin prestar atención a las consecuencias. En efecto, resulta tentador conseguir una aplicación sin publicidad, con funcionalidades premium, o descargar el último juego no disponible públicamente (como ocurrió cuando el juego «Fortnite» no era accesible al gran público).
Por consiguiente, según lo demostrado anteriormente, a los atacantes solo les queda elegir aplicaciones de moda y añadir algunas funcionalidades para asegurar su éxito en las tiendas secundarias.
¿Cómo proteger mi aplicación frente a la clonación?
La clonación y la difusión a gran escala de su aplicación de empresa pueden acarrear graves problemas de reputación y de confianza por parte de los socios y de los usuarios finales. Es casi imposible impedir que un ciberdelincuente haga ingeniería inversa de su aplicación para crear una falsa.
El equipo de investigación y desarrollo de Pradeo ha trabajado en este tema y ha elaborado un mecanismo único de «shielding» de aplicaciones para impedir los ataques dirigidos y las actividades de clonación. Esta tecnología garantiza tanto a la empresa como a los usuarios finales que no serán engañados por un clon.
Contáctenos para obtener más información sobre esta nueva funcionalidad.
