A tenor de las sucesivas noticias que han ido apareciendo este año sobre el incremento de malware para Android, se ha cuestionado —con razón— las medidas de seguridad que se aplican en Android Market. Parece ser que las medidas de control que se aplican en Android Market son escasas o inexistentes como han puesto de manifiesto un grupo de expertos en seguridad.
El experimento ha consistido en crear dos programas que contenían malware, registrar las aplicaciones y subirlas a la tienda virtual durante unos días a ver qué pasaba. Parece ser que no ha ocurrido nada, las aplicaciones han estado en Android Market varios días, incluso han sido descargadas por usuarios sin haber mediado publicidad y ningún responsable de la supuesta seguridad de Android Market se ha percatado de su existencia.
Lógicamente y por tratarse de un experimento, el software que ha burlado la seguridad era inocuo y no ha causado ningún daño a los usuarios que han instalado las aplicaciones. El problema es que, como ya se ha puesto en evidencia en más de una ocasión, los piratas que han subido aplicaciones con fines ilícitos sí se están aprovechando de esta aparente falta de control. Por cuestiones de licencia no entro a fondo en los detalles, que puedes leer en el artículo original. No tiene desperdicio. Las conclusiones puedes extraerlas tú mismo.
Vía | Security by Default
Imagen | DJ Hancock
En Genbeta | Infección masiva de dispositivos con Android, hasta 120.000 posibles afectados | Android en el punto de mira del malware, que crece un 400%
En Tecnología Pyme | Cinco alternativas de antivirus para Android
Comentarios
A ver si me entero y pongo literal "el software que ha burlado la seguridad era inocuo y no ha causado ningún daño a los usuarios que han instalado las aplicaciones" Han subido un programa inocuo y se quejan porque nadie les ha dicho nada.
Estoy confuso, alguien me lo aclara.
brillante
El primer programa extraía los contactos de la agenda de teléfonos, pero en vez de transmitir la información, enviaba asteriscos. El segundo abría el puerto 8080 que permitía introducir comandos en el teléfono, pero no lo han utilizado. Te recomiendo la lectura del artículo original para aclarar tus dudas, está en español. Saludos @mjc.
-- editado por última vez a las 18:33
Pues eso mismo podrías haberlo puesto en el artículo no?
brillante
Podía, pero no lo he hecho por dos razones. Por un lado, respeto al trabajo de una publicación no comercial y el trabajo desinteresado de sus creadores, que merecen ser visitados y leídos. Por otro, por temas de licencia, Security by Default publica con licencia Creative Commons para uso no comercial.
Te ha llevado más tiempo preguntar y protestar que el que te llevaría visitar el link para resolver tus dudas.
interesante
Y yo pregunto, ¿cómo puede estar Android tan infestado de malware si está basado en Linux? ¿Entonces la falta de malware en Linux se debía a que realmente está mejor diseñado que Windows o solo a que ninguna distribución había alcanzado el nivel de popularidad que Android tiene?
interesante
¿Os tienen que decir 1000 veces que si el usuario le da permisos, la aplicación hace lo que le da la gana?
¿No váis a entender nunca que una aplicación instalada a la que no se le han dado ciertos permisos, nunca podrá usarlos?
En eso consiste la seguridad, lo que se realiza por parte del usuario es ignorancia no inseguridad
interesante
Como no veo tu nick, no puedo saludarte por tu nombre. Tienes razón sólo en parte y me explico. El usuario debe otorgar permisos, cierto, pero el usuario no puede ser un paranoico de la seguridad. Confío en Microsoft cuando me envía actualizaciones, confío en Ubuntu cuando descargo paquetes y quisiera confiar en una App Store oficial en la misma forma en que confío en los anteriores. Para todo he de otorgar permisos. El problema no es tanto de los usuarios, porque entonces no instalaríamos nada, sino de la fuente, que ha de ser confiable y por lo que se ve... En fin. Saludos, estimado usuario.
(Añadido) Ahora sí veo tu nombre, así que saludos @Enrike Flors.
interesante
Pues lo que tú estás dando es la descripción de un troyano, malware que tanto le achacan a Windows pero por lo que veo en cuanto aparece en Linux no es culpa del sistema sino del usuario.
Además, mientras más popular sea una plataforma mayor es la probabilidad de que alguien encuentre algún agujero que le permita tomar permisos de root, que de hecho fue algo que ya sucedió con Linux en octubre pasado.
@Jorge, no vamos a entrar en el debate Windows vs GNU/Linux. No va de eso el post. Aquí lo que de verdad importa --a mi entender-- es que debe haber más controles dada la naturaleza de Android Market. Ningún trabajo humano está exento de fallos, cada sistema tiene su talón de Aquiles. Lo que ya no parece razonable es que se puedan subir programas y nadie los supervise a una App Store oficial.
¿Recuerdas el caso del anuncio de Spotify?
http://www.genbeta.com/multimedia/un-anuncio-de-spotify-ha-distribuido-un-virus-entre-los-usuarios
Si hubiera habido supervisión, no habría ocurrido. Saludos
Cierto. Equivale a usar cualquier distro de GNU/Linux regularmente como superuser. Si se nos estropea ¿le echamos la culpa a Linux, o al usuario torpe? Pues con Android igual.
También es cierto que Android debería ser más específico en la concesión de permisos. Un ejemplo: te concedo que te conectes a Internet pero ¿para qué? ¿para descargarte un simple banner publicitario, o para transmitir kilobytes de información desde/hacia no se qué servidor? Les concedemos barra libre.
¿Quieres acceder a un contacto de mi agenda? Pregúntame cuando lo necesites y ya veremos si te lo permito o no.
Pues eso, fallo del usuario pero también fallo de Android.
¿Cuándo se ha publicado un artículo en este blog sin que en los comentarios se terminara debatiendo sobre cualquier otra cosa? XD
En cuanto al tema de la supervisión, es algo que al parecer a Google no se le da demasiado bien. Recuerdo cuando salió el caso de que podías poner un anuncio en AdWords haciéndote pasar por cualquier empresa y nadie te decía nada. Así podías, por ejemplo, hacerte pasar por la web de Mozilla y engañar a los usuarios haciéndoles descargar un malware creyendo que estaban descargando Firefox.
-- editado por última vez a las 19:41
Si la teoría de la evolución es cierta, @Jorge, es normal que cambiemos de rama, incluso de árbol, eso hacían nuestros antepasados primates, pero ya que hemos evolucionado... nos centramos en el tema, que seguro nos va mejor. XD
Interesante aportación la de AdWords.
"App Store" te refieres a apple??? si vas a referirte a algo especifica..
¿Que carajo importa que esté basado en Linux? No deja de ser un producto de una transnacional, que ya bastantes muestras ha dado de cuanto le importan las seguridad y la privacidad.
Ahora estamos hablando de un sistema para celulares y tablets, ¿que esperabas? ¿que en cada instalación le pida su contraseña al usuario para dar permisos?
Creo que en su comentario se entiende que el termino "app store" lo usa como una expresion general, no seas paranoico.
Lo que se le achaca a microsoft es que esta lleno de virus. Los virus a diferencia del malware utilizan vulnerabilidades del sistema para infectar, y no necesitan que el usuario los instale. El malware en cambio toma acciones que son legales en el contexto del sistema operativo. Si tu puedes copiar archivos, abrir conexiones, etc, es porque los programas que ejecutas lo pueden hacer. Asì que si instalas un programa que haga eso, el sistema no tiene como saber que tu no estas al tanto de lo que pasa. El problema de Android como bien dijeron arriba, es la fuente, que no hace un control de calidad como puedes encontrar mínimo, como puedes encontrar en cualquier distro decente.
Tienes toda la razon, y es por eso que el mito de que Windows es inerentemente inseguro debido a su codigo cerrado o diseño es falso; es la popularidad y la falta de cuidado de los usuarios que permiten tales vulnerabilidades, y la falta de resposabilidad de Google en vigilar sus propios repositorios solo queda en duda si Canonical o Red Hat podrian proteger a sus usuarios si estuviesen en una situacion similar.
Si tuvieses que escribir tu contraseña para instalar apps en Android seria lo mismo, los dueños pensaron que la aplicacion era segura y hubiesen escrito su contraseña para instalalos.
Por contra, lo que se le achaca a linux es que siempre hay que usar la consola, para todo.
Es mentira, un tópico, pero tanto como lo que has dicho tú.
La mayoría de las infecciones en windows vienen dadas por el usuario y su dejadez. Recuerdo encontrar un XP con 200 malwarez y 50 virus... porque el usuario no tenía antivirus, ni cortafuegos y porsupuesto trabajaba con cuentas de administrador. Se instalaba todo lo que pillaba.
Ese usuario se compró un portátil con windows 7, win7 tiene el UAC por defecto así que ya no trabajaba como administrador, tenía antivirus porque todavía le duraba el que traía el portátil, también tenía cortafuegos porque Win7 lo trae... pero ese usuario se infectó porque descargó el Ares de una página que no era la oficial, lo ejecutó, le saltó el antivirus alertándole del peligro, lo ignoró, le saltó el UAC, aceptó y se instaló un virus "porque el Ares no es un virus". No, el Ares no pero, coño, tú no te has instalado el Ares porque a saber qué te has descargado.
Otro tenía el navegador lleno de barras, no sabía por qué tenía tantas barras, yo le pregunté si se leía la parte de "desea instalar x barra..." en los programas que instalaba. Me dijo que no, que "siguiente, siguiente".
La mayoría de los casos son así y ¿eso es culpa del SO o del usuario?, porque me se de unos cuantos que ya perdieron esas costumbres y dejaron de tener problemas.
Si no me crees, otra prueba es que últimamente los ataques más sonados van más enfocados a aplicaciones de terceros (sobre todo adobe) que al propio windows. Por algo será.
Linux tambien tiene vulnerabilidades, y algunas tan graves como para permitir escaladas de privilegios y que un programa se ejecute como root.
Cuando un sistema Windows se infecta le echan la culpa al sistema, cuando un sistema Linux se infecta es culpa del usuario.
En realidad, estamos viendo que en ambos casos el sistema influye bien poco: un usuario geek no se va a infectar nunca así use Windows o Linux; en cambio, a un usuario noob, aunque le pongan un sistema supuestamente "mejor" como Linux o Mac, se va a acabar infectando tarde o temprano, y no es culpa del sistema sino de su propia incompetencia.
Sin entrar en detalles sobre qué tipo de malware fue el que lo afectó, el punto es que se infectó, y ese cuento que nos venden desde hace años de que "si tienes malware es porque usas Windows y si usaras Linux no te pasaría" ha probado ser falso.
Ya deje claro en un articulo que eso estaba sucediendo por desidia de google.
http://noesbuenosersincero.blogspot.com/2011/04/la-android-market-es-totalmente.html
Y lo de los permisos es un gilipollez. Siempre tiene que haber una con tal de defender a Linux. Todos los programas piden casi cualquier tipo de permiso, como conectarse a internet o leer llamadas... da igual, hasta los juegos.
El problema esta en que al ser la tienda oficial de Android, uno piensa que todo esta mas o menos controlado.... fail! es tan seguro bajar de Android Market como de otros sitios no oficial, ya que el control por parte de Google es mínimo.
MacOSX y Linux tienen malware, troyanos y virus... siempre y cuando TU le des permisos. Eso a sido así siempre. En windows, si te creas una cuenta de usuario, y pides permisos "igual que la resta" es igual de in/seguro que los demás.
Que deban tener más seguridad las compañías? No, sino que el usuario tenga ojo.
Es mas, me pase el karspersky de Android "por curiosidad" y... solo me detectó un virus... el superuser ¬¬. Vamos, un poco de ojo nunca viene mal.
¿Y qué demonios está esperando Google para poner un control? Los reportes de malware en el Android Market vienen desde hace siglos y no han hecho absolutamente nada. Imagino que deben estar más concentrados en disfrutar sus vacaciones de verano...
Llamadme oportunista, pero esta fué el principal motivo, por el cuál abandoné Android. Mucho sexo, malwares... y antivirus (increible) que con el móvil, tengas que tener instalados un "Avast" (manda huevos). Como no espabilen, muchos otros también se cansarán, si no... tiempo al tiempo.
Eso del sexo pues no se aparece solito eh?
Hay.....es que las medidas de la AppStore son muy restrictivas.....
...enfín....
No sé pero llevan una racha con Android que no veas. Poco a poco se están labrando una reputación cojonuda.
Creo que algo similar ocurrió con las exenciones del google Chrome hace algún tiempo.
Tienes razón, había olvidado eso. Extensiones de Chrome, Android Market, AdWords... en cuanto a supervisión, Google ya tiene 3 strikes.
Como si hubiesen descubierto agua en medio del desierto... no es ninguna novedad que Google no controla lo que se publica en el Market, esto tiene sus cosas buenas y sus cosas malas (esta una de ellas). Pero miren, si no les gusta esa libertad o tienen miedo de lo que pueda haber ahí fuera pueden usar otro Market (como el de Amazon) o sino pasarse a otra plataforma con más restricciones.
A mi me gusta tal cual como está, un smartphone donde guardas mucha información personal/profesional no puede ser usado de la misma forma que se utiliza un televisor.
No se trata de libertad sino de seguridad, y es necesario que Google elimine el malware que hay en el Android Market e impida que se cuele más. Ese es el punto del artículo.
No tardará google en ponerlo como el de Amazon, pero eso hará que sean un poco más caras las aplicaciones, por tener que pagar a personal propio que las revise.
Parece que muchos no entienden que el motivo de google es netamente comercial, a ellos no les importa la seguridad, se encuentran estancados en el mismo discurso que apple y que antes detuvo a MS. Ya que afecta su imagen el admitir que tienen malware. Windows no mejoró hasta que MS admitió que tenía un problema serio, y esto no sucedió hasta que su posición comercial estuvo tan consolidada que podía afrontar las pérdidas. Pero al menos ellos lo hicieron con su propio sistema no se agarraron de un núcleo hecho por otros para echarlo a perder como lo está haciendo google.
Lo de que esto no pase porque Android está basado en Linux... que mamada, y que estupidez.
No es estupidez. Si acaso tema de otro post, pero estupidez no.
El Android tiene un agujero de seguridad grandisimo, en concreto una puerta trasera. Google puede generar desinstalaciones remotas de lo que ellos consideren malware, con lo que cualquier atacante que se haga pasar por google podria manipular los programas instalados.
No conozco el sistema que siguen, pero seguramente hasta podrian ejecutar un script o forzar la sustitucion de un programa existente por un programa infectado, y estoy mas que seguro de que conservaria los permisos que se le dieron originalmente.
bueno el meollo del asunto es que es muy facil meter malware y/o virus en el market de android y no deberia ser, no es que se le pueda escapar uno que otro a la revision, pero mas bien parecen que los dejan pasar como pedro por su casa. esto me hace preguntar si lo hacen a proposito para decir "tenemos chorrocientos apps"
al igual que muchos uno espera un mayor nivel de control en este aspecto por parte de google, pues es su market oficial y a la que los usarios android de "a pie" siempre van.
sobre la pelea de que no era linux mas seguro, blablabla. ningun OS es seguro solo faltan ganas reales de aprovechar las debilidades, microsoft pago caro su dejadez en este aspecto, pero aprendio y ha mejorado considerablemente en este aspecto, aunque el daño esta hecho y aun pululan usuarios que opinan basandose en las versiones viejas de windows. osx hace tiempo habia demostrado que era un coladero, pero ahora si le ponen atencion por la aparicion de un virus y porque apple reaccion lento y mal.
google debe verse en ese espejo, ya que si alguien se le antoja aprovechar la tegnologia NFC para vaciarte la cuenta pues alli si la van a liar y bien feo,
Lo malo no es el Android market. Lo malo es Android OS. El android tiene fallas de seguridad por todos lados.
Lo que es mas increible es que si la falla es de otro OS de inmediato le caen encima.
ES ilogico ver como la gente compro el iphone4 sabiendo que tenia problemas de varios tipos y el peor de todos la antena y es mas ilogico ver como alguien prefiere comprar un equipo (que maneja sus datos mas privados) con un OS que es una verdadera porqueria y con cientos de fallas de seguridad.
No uso ninguno de los 2 OS (ios ni android), porque cuando los use dejaron mucho que desear. Iphone porque solo copia lo que los demas tienen hace meses (luego sale el Jobs y dice "mira lo que acabo de inventar) y android por malo, repetitivo e inseguro.
Deberían de decirles a los compradores la verdad de esta mierda de sistema 'low cost' para móviles. En las tiendas no paran de aconsejar comprar Android debido a los beneficios que les deja. Pero Android es SUPER PELIGROSO. No he visto sistema más vulnerable y hay miles de usuarios infectados y ni se quieran lo saben porque no son expertos en Linux. Menos mal que con Windows Phone O Blackberry podremos uasr NFC sin problemas, pero hay de los pobres ilusos de Android 'todo gratis', porque van a pagar con creces haberse creido que la gratitud era a costa de nada. Mucho ojo al peligro de Android.
Y la tierra se abrirá, y miles de millones serán tragados por el diablo, y solo se salvarán aquellos con una BlackBerry o un Windows Phone que puedan defenderse con NFC!
En tu próximo discurso, añade algunos !!!!! después de SUPER PELIGROSO.
Lo que quería decir es que Android es el mas inseguro y con diferencia del resto de Sistemas para móviles. Si no me crees investiga un poco, consulta analisis y estadísticas de malware, vulnerabilidades, virus; compara y decide tu mismo. La moda de Android es muy peligrosa, porque los usuarios generalmente no saben ni se enteran de que sus datos son tomados por malware, que han sido infectados, que alguien ha entrado vía remota y por consola a su terminal,.. Lo que está probado es que Windows Phone y Blackberry son mucho más seguros en esos aspectos y es mucho más facil no ser/o darse cuenta de haber sido infectado. Y el tema del NFC, es peligroso usarlo para aquellos que no sepan realmente cómo está su movil y si han sido infectados.
Te doy la razón en que ahora mismo, Android es más inseguro.
De hecho, hace poco salió un informe de Mcafee sobre SO móviles donde Android salía peor parado que iOS.
Pero cuando dices "con diferéncia" y "muy peligrosa" sabes que esto es demagógia.
Google tiene un problema, y es, básicamente, que se le ha colado Malware en su Market, y si no voy equivocado, ya ha pasado otras dos veces. Esto ha afectado a muchos usuarios, no en porcentaje pero si en número.
Escribir un comentario
Para hacer un comentario es necesario que te identifiques: ENTRA o conéctate con FacebookConnect