Cuando se adquiere un nuevo smartphone los usuarios se suelen fijar principalmente en que el precio sea consecuente con sus características, que estas sean las adecuadas para el uso que se le va a dar y, en muchos casos, que la cámara sea buena para poder tomar muchas fotos de calidad. Pocas veces se repara en las aplicaciones que vienen instaladas en el terminal a pesar de que, tal y como Google acaba de confirmar, algunas de estas apps pueden causarnos serios problemas.
Aplicaciones peligrosas
A la hora de hablar de apps maliciosas en dispositivos Android casi siempre nos viene a la cabeza algún caso donde las víctimas se han descargado la aplicación desde un repositorio externo o incluso desde la tienda oficial Google Play. Sin embargo, nuestro nuevo teléfono también puede venir infectado de fábrica y esto es algo a lo que pocos usuarios prestan atención.
En una reciente presentación realizada en BlackHat 2019 por la investigadora de Google Maddie Stone, se ha podido comprobar como millones de smartphones Android vienen con malware preinstalado de fábrica. Este hecho, que puede sorprender a algunos, no es nada nuevo, pero ahora con la confirmación por parte de Google es un buen momento para pararnos a pensar las consecuencias que este tipo de prácticas suponen para los usuarios.
Muchas de estas aplicaciones se limitan a mostrar publicidad en el dispositivo o a recopilar ciertos datos del usuarios pero también las hay que son más intrusivas o incluso no dudan en robar información confidencial de sus víctimas. El problema viene cuando, por pura confianza al haber estrenado un móvil nuevo, los usuarios no revisan las aplicaciones preinstaladas ni los permisos concedidos de fábrica y quedan expuestos durante largos periodos de tiempo.
Un problema a gran escala
El problema de estas aplicaciones maliciosas no sería tan grave si el número de dispositivos afectados no se contara por millones ni las empresas que los fabrican fueran más de 200, según la investigación de Google. Sin embargo, la mayoría de terminales afectados tienen una característica común y es que están basados en Android Open Source Project (AOSP).
El AOSP es una alternativa más económica que utilizar la versión completa de Android y por eso se suele encontrar instalado en dispositivos de bajo coste. Los fabricantes de estos dispositivos suelen cerrar alianzas con desarrolladores de software y otras empresas para incluir aplicaciones en sus terminales y ahí es donde se encuentra el problema principal.
Algunos de estos desarrolladores de apps no tienen ningún escrúpulo e instalan sus creaciones maliciosas desde la misma cadena de suministro, generando problemas de seguridad a los confiados compradores de estos terminales. En lugar de intentar infectar a miles de usuarios, los creadores de estas aplicaciones solo necesitan conseguir instalarla en los dispositivos de un fabricante.
Ejemplos de malware preinstalado en este tipo de dispositivos son las campañas de Chamois y Triada. Chamois muestra publicidad no solicitada, instala otras aplicaciones en segundo plano e incluso puede llegar a enviar mensajes de texto de tarificación especial. Por su parte, Triada es un malware más antiguo especializado en mostrar publicidad no deseada e instalar otras aplicaciones sin el consentimiento del usuario.
Conclusión
Mientras Google trata de ayudar a los fabricantes de dispositivos que se ven afectados por estas aplicaciones maliciosas en la misma cadena de suministro, los usuarios también deben tomar ciertas precauciones cuando adquieran un smartphone nuevo. Por ejemplo, revisar las aplicaciones incluidas por defecto y desinstalar aquellas que no sean necesarias o no nos aporten demasiada confianza.
Además, los consejos clásicos a la hora de descargar e instalar aplicaciones se siguen aplicando. Consejos como realizar la descarga preferiblemente desde Google Play, revisar los permisos que solicitan las app y estar atento ante cualquier funcionamiento anómalo, todo esto complementado con una buena solución antivirus, son claves a la hora de mantener nuestro dispositivo protegido.