Una popular aplicación de Android comenzó a espiar en secreto a sus usuarios meses después de aparecer en Google Play

Según una empresa de ciberseguridad, una popular aplicación de grabación de pantalla de Android que obtuvo decenas de miles de descargas de la App Store de Google posteriormente comenzó a espiar a sus usuarios, incluso robando grabaciones de micrófonos y otros documentos del teléfono del usuario.

La investigación realizada por ESET descubrió que la aplicación de Android iRecorder - Screen Recorder introdujo el código malicioso como una actualización de la aplicación casi un año después de que apareciera por primera vez en Google Play. Según ESET, el código permitió que la aplicación cargara en secreto un minuto de ruido ambiental desde el micrófono del dispositivo cada 15 minutos, así como extraer documentos, páginas web y archivos multimedia del teléfono del usuario.

La aplicación ya no aparece en Google Play. Si ha instalado la aplicación, debe eliminarla de su dispositivo. Cuando la aplicación maliciosa se eliminó de la App Store, tenía más de 50 000 descargas.

ESET llama al código malicioso AhRat, una versión personalizada de un troyano de acceso remoto de código abierto llamado AhMyth. Los troyanos de acceso remoto (RAT) utilizan un amplio acceso al dispositivo de la víctima y, a menudo, pueden incluir control remoto, pero también funcionan de manera similar al spyware y al stalkerware.

Una captura de pantalla de iRecorder que figura en Google Play como almacenada en caché en Internet Archive en 2022. Autor de la foto: TechCrunch (captura de pantalla)

Lukas Stefanko, investigador de seguridad de ESET que descubrió el malware, dijo en una publicación de blog que la aplicación iRecorder no contenía ninguna funcionalidad maliciosa cuando se lanzó por primera vez en septiembre de 2021.

Después de que el código malicioso AhRat se distribuyó a los usuarios existentes (y a los nuevos usuarios que descargaron la aplicación directamente desde Google Play) como una actualización de la aplicación, la aplicación comenzó a acceder sigilosamente al micrófono del usuario y volcó los datos del teléfono del usuario en uno de los servidores de carga controlados por malware. operador. Stefanko dijo que la grabación de audio "encaja en el modelo de permisos de la aplicación ya definido" porque la aplicación fue inherentemente diseñada para capturar las grabaciones de pantalla del dispositivo y solicitaría otorgar acceso al micrófono del dispositivo.

No está claro quién inyectó el código malicioso, si el desarrollador u otra persona, y por qué razón. TechCrunch envió un correo electrónico a la dirección de correo electrónico del desarrollador que estaba en la lista de la aplicación antes de la eliminación, pero aún no ha recibido una respuesta.

Stefanko dijo que el código malicioso probablemente sea parte de una campaña de espionaje más amplia en la que los piratas informáticos están trabajando para recopilar información sobre los objetivos de su elección, a veces en nombre de los gobiernos o por razones financieras. Dijo que es "raro que un desarrollador cargue una aplicación legítima, espere casi un año y luego la actualice con un código malicioso".

No es raro que las malas aplicaciones lleguen a las tiendas de aplicaciones, y tampoco es la primera vez que AhMyth se cuela en Google Play. Tanto Google como Apple verifican las aplicaciones en busca de malware antes de ponerlas a disposición para su descarga y, a veces, actúan de manera proactiva para extraer aplicaciones cuando podrían poner en peligro a los usuarios. El año pasado, Google dijo que bloqueó más de 1,4 millones de aplicaciones que violan la privacidad para que no lleguen a Google Play.