El escandalo de los
documentos filtrados del Hacking Team
está poniendo en evidencia la seguridad de muchos sistemas y
aplicaciones. Esta empresa conocía los agujeros de seguridad de cientos
de aplicaciones, lo que le permitía acceder sin problemas a los
ordenadores y
móviles de los usuarios.
El
Hacking Team habría desarrollado una aplicación que podría ejecutar
malware en Android y se habría colado en la tienda de aplicaciones
Google Play en forma de aplicación de noticias,
según los especialistas de seguridad de Trend Micro. La aplicación denominada
BeNews
sólo requiere tres permisos por parte del usuario cuando era instalada y
consiguió pasar todos los controles de seguridad de
Google ya que
"no contenía código malicioso detectable".
La falsa aplicación de noticias fue descargada más de 50 veces de Google
Play hasta que fue retirada el 7 de julio, información de nuevo
confirmada por esta empresa de seguridad. Creen que consiguió saltarse
todos los controles mediante el uso de tecnología de carga dinámica.
Esto permite que la aplicación ejecute parte de su código desde
Internet, por lo que los controles automáticos no encuentran nada
sospechoso al verificarla. El código aparece después de ser instalada la
aplicación, por lo que
Google poco puede hacer al respecto.
Trend Micro afirma que el Hacking Team habría desarrollado un manual
para que sus clientes pudieran aprovechar esta brecha de seguridad,
además de una cuenta común que podían utilizar para subir aplicaciones a
Google Play sin despertar sospechas. Estas aplicaciones aprovechaban un
problema de seguridad, con el código
CVE-2014-3153, localizado en las
versiones Android 2.2 ("Froyo") a 4.4.4 ("KitKat").
El
backdoor, identificado como
BeNews utiliza una vulnerabilidad de escalamiento local de privilegios y
el exploit ya había sido previamente utilizado por la herramienta
TowelRoot.
