Novoice: malware android clona whatsapp y roba datos de 2.3 millones
Un silencioso y sofisticado ataque ha comprometido la seguridad de 2.3 millones de dispositivos Android, gracias a un malware bautizado como NoVoice. La amenaza, que se propagó a través de más de 50 aplicaciones aparentemente inofensivas en Google Play, ha puesto en jaque la privacidad de millones de usuarios y expone la fragilidad de los sistemas de seguridad de la plataforma.
La camuflaje perfecto: apps limpias que ocultaban un veneno
Lo alarmante no es solo la magnitud de la infección, sino la astucia con la que NoVoice logró infiltrarse. Las aplicaciones infectadas, que ofrecían funcionalidades como limpieza de dispositivos, galerías de imágenes y juegos, no presentaban permisos sospechosos en su descripción y parecían cumplir con lo prometido. Esta estrategia de camuflaje facilitó enormemente su descarga masiva, engañando a los usuarios y burlando los controles de Google.
Según el análisis de McAfee, la operación de infección era compleja y meticulosa. Los componentes maliciosos se integraron de forma inteligente dentro del código legítimo del SDK de Facebook, haciendo prácticamente imposible su detección inicial. Pero la sofisticación no termina ahí.
La carga útil maliciosa se escondía, además, dentro de archivos de imagen PNG mediante una técnica de esteganografía, una forma de ocultar datos dentro de otros archivos, como si fueran un mensaje secreto. Una vez ejecutada, esta carga útil se extraía en la memoria del sistema, borrando a continuación los archivos intermedios para evitar dejar rastros.
Exploits antiguos y persistencia implacable
McAfee detectó que NoVoice utilizaba un arsenal de 22 exploits, muchos de ellos basados en vulnerabilidades antiguas de Android. Entre ellos, se encontraban errores de kernel y fallos en el controlador GPU Mali, lo que permitía a los atacantes obtener acceso root al dispositivo, desactivar la seguridad SELinux y, lo más grave, reemplazar librerías críticas del sistema.
Lo que distingue a NoVoice de otros malwares es su capacidad de persistencia. Incluso tras un restablecimiento de fábrica, el malware seguía activo, gracias a scripts de recuperación, la sustitución del manejador de fallos del sistema y el almacenamiento de cargas útiles en la partición del sistema. La persistencia es una característica que habla de la dedicación y el nivel de habilidad de los atacantes.
El objetivo: whatsapp y la clonación de sesiones
Una vez establecido en el dispositivo, NoVoice comenzaba su fase de post-explotación, inyectando código malicioso en todas las aplicaciones instaladas. Pero su principal objetivo era WhatsApp. El malware se centraba en recopilar bases de datos cifradas, claves del protocolo Signal y detalles de la cuenta de los usuarios, lo que permitía a los atacantes clonar sesiones de WhatsApp en otros dispositivos. La gravedad de este compromiso es inmensa, ya que facilita el acceso a conversaciones privadas, datos personales y, potencialmente, a información financiera.
Google ha eliminado las aplicaciones maliciosas tras la notificación de McAfee. Pero la realidad es cruda: aquellos usuarios que las instalaron anteriormente pueden tener sus dispositivos comprometidos. La única medida efectiva, por ahora, es actualizar a las versiones más recientes de Android, aunque la posibilidad de que el malware haya quedado oculto persiste.
El caso de NoVoice es un recordatorio contundente de que la seguridad móvil es una batalla constante. La confianza ciega en las aplicaciones de Google Play es un error. La sofisticación de los ataques modernos exige una actitud proactiva y una revisión constante de las medidas de seguridad.