Hirudo inutiliza el consejo de «revisar la app»: revisa el origen

«Comprueba que la app tenga buen aspecto» lleva años siendo un consejo de seguridad estándar. Ahora intenta seguirlo cuando el propio malware borra tu app bancaria real e instala una imitación que se comporta igual. Esa es la incómoda lección de Hirudo.

Según el reportaje de CHIP sobre los hallazgos de ThreatFabric, Hirudo se hace pasar por una app de compras, de entretenimiento o de vídeos cortos. Una vez instalado, pide permisos con una excusa, entre ellos los servicios de accesibilidad. Después elimina la app bancaria original, descarga una versión modificada y la instala. Hasta ahora, ThreatFabric ha encontrado copias de ocho apps bancarias.

La app manipulada se parece en gran medida a la original. Según se informa, los atacantes pueden capturar contraseñas bancarias, PIN de pago y del dispositivo, mensajes SMS y el contenido de la pantalla, e incluso abusar de la cámara y del micrófono. Los primeros casos afectaron a apps bancarias de Indonesia, con indicios de ataques a entidades financieras de China, India, México, Marruecos y Tailandia. Se desconoce el número de víctimas, pero se dice que llega a los miles.

Los controles en los que confiábamos son los que se esquivan

Lo inquietante no es la app falsa. Las apps falsas no son ninguna novedad. Lo es que, según se informa, un mecanismo de hooking integrado puede sortear las comprobaciones de firma, los controles de accesibilidad y las consultas de Play Integrity, justo las salvaguardas con las que contamos para detectar manipulaciones. Un banco no puede distinguir fácilmente entre «mi app real» y «una copia que responde como mi app real» si todo aquello en lo que se apoya la comprobación se ejecuta en el móvil comprometido.

Para los usuarios, los viejos consejos («mira el icono», «comprueba el nombre», «asegúrate de que es la versión correcta») se quedan cortos. Otro artículo secundario, shattered.io, llega a decir que la sustituta tiene el mismo nombre y la misma versión que la original. A nuestro juicio, ese consejo está obsoleto para este tipo de amenaza. No se puede verificar una app a simple vista cuando el atacante controla lo que ves.

Dónde está la defensa de verdad: antes de instalar

Si no se puede confiar en la app a posteriori, la decisión que cuenta es la anterior: lo que dejas entrar en el móvil. Hirudo no empieza con una app bancaria. Empieza con una app de compras o de vídeo de apariencia inofensiva, y contigo concediéndole acceso de accesibilidad. Así que lo diremos sin rodeos:

• Instala solo desde fuentes oficiales. No abras archivos APK de tiendas desconocidas, por buena que parezca la oferta.
• Trata como una señal de alarma que una app de compras o de vídeo te pida permiso de accesibilidad. Nuestra opinión: si una app sin mayor pretensión lo necesita, bórrala.
• Mantén el dispositivo actualizado y ejecuta análisis de Play Protect con regularidad, como recomienda el artículo de CHIP.

Nada de esto es glamuroso, y Play Protect no hace milagros. Pero, en nuestra opinión, son los hábitos que funcionan antes de que el daño esté hecho. Preferimos confiar en un hábito aburrido antes que en la autocomprobación de una app bancaria.

Los bancos deben sacar la comprobación del móvil

La recomendación para los bancos es la parte más reveladora: vincular los controles de seguridad al servidor y a transacciones concretas. Lo leemos como una admisión tácita de que las comprobaciones en el dispositivo, por sí solas, no aguantan. En nuestra opinión, ahí es hacia donde va el sector, y probablemente los usuarios deban esperar más pasos de confirmación en los pagos. Molesto, sí, pero mejor que una página de pago falsa que muestra «éxito» después de llevarse tus datos.

Considera la fuente de instalación como la cerradura de la puerta

Si sospechas que te has infectado, el consejo del BSI que cita CHIP es revisar las apps instaladas recientemente y eliminarlas primero. Después, haz un análisis con un antivirus actualizado, prueba el modo seguro y deja el restablecimiento de fábrica como último recurso, por lo que importa tener copias de seguridad. Pero prevenir sale mucho más barato. Considera la fuente de instalación como la cerradura de la puerta, no como una preferencia. Hirudo demuestra que, una vez que algo está dentro, «parece estar bien» no dice nada.