El malware de Android 'Gooligan' se usa para comprometer las cuentas de Google

La firma de seguridad Check Point ha revelado una nueva campaña de malware que implica el uso de aplicaciones maliciosas para rootear dispositivos Android, robar tokens de autenticación de Google y acumular ilegítimamente números de instalación y revisar puntajes para otras aplicaciones.

El malware, denominado "Gooligan" por Check Point, utiliza vulnerabilidades conocidas para obtener acceso de root (control completo) sobre dispositivos que ejecutan Android 4.xy 5.x, antes de usar esto para robar nombres de cuentas de Google y tokens de autenticación. Esto permitió a los perpetradores instalar remotamente otras aplicaciones de Google Play en los dispositivos de las víctimas y publicar críticas falsas en su nombre.

En teoría, un malware como este, que está diseñado para robar detalles de autenticación, puede haber podido acceder a otras áreas de las cuentas de Google, como Gmail o Photos. No hay evidencia de que "Gooligan" haya hecho algo como esto; en cambio, parece que fue creado para hacer dinero para sus creadores a través de instalaciones ilegítimas de aplicaciones.

Lo sorprendente de esta variedad de malware es la cantidad de cuentas afectadas, más de un millón desde que comenzó la campaña, según Check Point. La mayoría, el 57 por ciento, de estas cuentas estaban comprometidas en Asia, según la firma. Luego estaban las Américas con el 19 por ciento, África con el 15 por ciento y Europa con el 9 por ciento. Check Point ha establecido un sitio donde puede verificar si su cuenta está afectada; Google también dice que está llegando a cualquiera que haya sido golpeado.

Antes del anuncio público de hoy, Google y Check Point han estado trabajando juntos para mejorar la seguridad de Android.

Apreciamos tanto la investigación de Check Point como su asociación, ya que hemos trabajado juntos para comprender estos problemas ", dijo Adrian Ludwig, director de seguridad de Android de Google." Como parte de nuestros esfuerzos continuos para proteger a los usuarios de la familia Ghost Push de malware, hemos tomado numerosas medidas para proteger a nuestros usuarios y mejorar la seguridad del ecosistema de Android en general ".

Check Point también señala que la tecnología "Verify Apps" de Google se ha actualizado para tratar las aplicaciones que utilizan vulnerabilidades como esta. Eso es significativo porque, si bien no ayuda a los dispositivos que ya están comprometidos, bloquea las instalaciones futuras en el 92 por ciento de los dispositivos Android activos, incluso sin la necesidad de actualizaciones de firmware.

Al igual que otros exploits basados ​​en aplicaciones, la función 'Verify Apps' de Google ahora protege el 92 por ciento de los dispositivos activos de 'Gooligan'.

"Verify Apps" está integrado en los servicios de Google Play y está habilitado de forma predeterminada en Android 4.2 Jelly Bean, lo que representa el 92.4 por ciento de los dispositivos activos, según los números actuales. (En versiones anteriores, se puede habilitar manualmente). Al igual que el resto de Play Services, se actualiza regularmente en segundo plano, bloquea la instalación de aplicaciones maliciosas y puede aconsejar a los usuarios que desinstalen el malware que ya existe.

En las versiones más recientes de Android, los exploits subyacentes utilizados por "Gooligan" para rootear dispositivos se habrán solucionado mediante parches de seguridad. Entonces, aunque suene significativo como un millón de cuentas comprometidas, este también es un ejemplo de la estrategia de seguridad de Google para el malware basado en aplicaciones que funciona según lo diseñado, bloqueando las instalaciones de las aplicaciones afectadas en la gran mayoría del ecosistema.

Si le preocupa que su cuenta haya sido afectada, puede visitar el sitio de Check Point. En el futuro, las salvaguardas existentes de Google, una parte de los Servicios de Play durante los últimos cuatro años, garantizarán su protección.

Actualización: el ingeniero principal de Google para la seguridad de Android, Adrian Ludwig, tiene una extensa reseña sobre el fondo del anuncio "Googlian" de hoy, y lo que Google está haciendo al respecto, en Google+.