SEGURMÁTICA LLEGA A LOS MÓVILES: DETECTANDO MALWARE EN ANDROID

Transcripción

1 SEGURMÁTICA LLEGA A LOS MÓVILES: DETECTANDO MALWARE EN ANDROID SEGURMÁTICA LANDS ON MOBILE: DETECTING MALWARE ON ANDROID Pablo Hernández Valdés Ailin de la Caridad Prieto Quiñones Segurmática, Cuba, pabloh@segurmatica.cu, ailin@segurmatica.cu RESUMEN: Desde hace algún tiempo Android se ha ido convirtiendo en el sistema operativo móvil más utilizado y por ese motivo para los creadores de programas malignos les resulta un objetivo atractivo. El número de aplicaciones maliciosas ha ido aumentando y con la introducción paulatina en Cuba resulta importante estar protegidos. Con ese objetivo en Segurmática se ha trabajando para incorporar al motor antivirus la capacidad de detección de aplicaciones malignas orientadas a esta plataforma, y se ha desarrollado una aplicación para instalar en los dispositivos Android. Palabras Clave: Android, Programas malignos, Detección, Seguridad ABSTRACT: For some time Android has gradually become the most used mobile operating system and for that reason the malicious programs creators find it an attractive target. The number of malwares has increased and with growth in Cuba it is important to be protected. Pointing to this goal Segurmática has been working to incorporate the anti-virus engine detection capabilities of malicious applications aimed at this platform, and has developed an application to install on Android devices. KeyWords: Android, malware, detection, security.

2 1. INTRODUCCIÓN El desarrollo de los dispositivos móviles viene de conjunto con los sistemas operativos móviles, los cuales se han ido transformando de ser una simple interfaz para los servicios básicos como era en los teléfonos iniciales a ser un sistema operativo completo personalizable, con aplicaciones y con facilidades para los desarrolladores. Uno de estos sistemas operativos es Android, desarrollado por Google, y que ha ido aumentando su uso y desde hace varios años es el más utilizado [1]. Figura. 2: Distribución de las aplicaciones malignas Figura. 1: Uso de los sistemas operativos móviles De la misma manera que el uso del sistema operativo crece, también aumenta el interés dentro de los creadores de programas malignos para convertirlo en objetivo de su ataque. En la actualidad casi la totalidad de las aplicaciones malignas móviles están orientadas a Android [2]. En Cuba el desarrollo de la telefonía móvil está atrasado con respecto a otras partes del mundo, pero a pesar de eso es común encontrarse a personas con un móvil Android, y esta tendencia va creciendo. La empresa Segurmática tiene entre sus objetivos garantizar la protección de todos sus usuarios y por ese motivo se dio a la tarea de incorporar al motor antivirus la capacidad de detección de aplicaciones malignas hechas para Android. 2. APLICACIONES DE ANDROID 2.1 Introducción Una aplicación para Android es un fichero con extensión APK, aunque internamente es un fichero ZIP con la estructura siguiente: [assets] [lib] o [armeabi] o [armeabi-v7a] o [x86] o [mips] [META-INF] [res]

3 AndroidManifest.xml classes.dex resources.arsc Hay carpetas y ficheros que contienen recursos (assets, res, resources.arsc), otros que contienen código (lib, classes.dex) y otros que contiene información descriptiva de la aplicación (META-INF, AndroidManifest.xml) Una aplicación se identifica por un nombre de paquete único, por ejemplo com.google.android. ; y todas las versiones de la misma aplicación tienen que estar firmadas con el mismo certificado, garantizando de esta manera que sean creadas por la misma persona o equipo de desarrolladores. Una característica interesante es que en el AndroidManifest.xml es obligatorio especificar todos los permisos que la aplicación requiera. Un permiso puede ser acceder a la cámara, conectarse a Internet, ver o modificar contactos, acceder a los SMS, entre muchos otros (hay más de 150) [3]. Figura. 5: Permisos de una aplicación legítima 2.2 Aplicaciones malignas Las aplicaciones malignas se pueden dividir en dos grandes grupos: Independientes: Son aplicaciones creadas completamente para ser malignas. Figura. 3: Creación de aplicaciones malignas independientes Re-empaquetadas: Son aplicaciones legítimas que fueron desensambladas, se les adicionó código maligno y se volvieron a empaquetar. Figura. 4: Creación de aplicaciones malignas reempaquetadas Una característica común en las aplicaciones malignas es que solicitan una gran cantidad de permisos, necesarios para realizar su actividad maligna, pero que no son necesarios para la aplicación normal. Figura. 6: Permisos de la misma aplicación reempaquetada con código maligno 3. DETECCIÓN Para la incorporación de la detección de aplicaciones malignas al motor antivirus se utilizan dos métodos principalmente: Usando firmas: o Es rápido. o Recomendado para aplicaciones malignas independientes. o Funciona para aplicaciones reempaquetadas pero es necesario una firma para cada variante reempaquetada. Usando algoritmos complejos: o Es más lento. o Recomendado para aplicaciones reempaquetadas. o Buscan identificar dentro del código de una aplicación algún componente maligno conocido, por ejemplo clases o métodos correspondientes al código maligno. Esta búsqueda se realiza principalmente analizando el código compilado que se encuentra en el fichero classes.dex.

4 Con la incorporación de la detección de aplicaciones malignas de Android al motor antivirus, el producto Segurmática Antivirus es capaz de revisar los paquetes de aplicaciones de Android (.apk) en un PC. 2.3 Caso de estudio en Cuba En Cuba no estamos exentos de ser afectados por aplicaciones malignas y aquí se presenta el ejemplo de la aplicación EtecsaDroyd, desarrollada en Cuba, y que fue re-empaquetada para incorporarle código maligno. En este trabajo se analiza lo relacionado con el código de la aplicación, quedando fuera del análisis lo relacionado con la legalidad de los datos. Es común que en el desarrollo de aplicaciones se liberan distintas versiones para corregir problemas o realizar mejoras. A Segurmática llegaron muestras de distintas versiones de la aplicación: Creada el 8 de enero de Creada el 12 de enero de Creada el 8 de abril de Creada el 18 de octubre de A primera vista resultó interesante encontrar una aplicación con una versión anterior que fuera creada con posterioridad a la última versión, y se encontró que las tres primeras estaban firmadas con el mismo certificado pero la estaba firmada con un certificado diferente. Teniendo en cuenta que eso es característico de aplicaciones re-empaquetadas se decidió realizar un análisis en profundidad del paquete de la versión El manifest de la aplicación contiene un Broadcast Receiver, que no está presente en la aplicación original, y que tiene como función interceptar todos los mensajes SMS que se reciban. Figura. 8: Fragmentos del código del Broadcast Receiver Cuando se revisa el código del Broadcast Receiver se puede determinar que revisa el contenido de todos los SMS que se reciben y si el contenido de alguno es Cola realiza las siguientes acciones: Extrae la información de los contactos (nombre, teléfono y correo). Esta información se codifica haciendo XOR con el texto tembas y después se lleva a Base64. Si existe una tarjeta de memoria, reemplaza el contenido de todos los ficheros que están en la raíz por un mp3 (con un sonido similar al temporizador de una bomba y un grito), exceptuando el último fichero, en el que pone como contenido la codificación de los contactos. Se aborta la notificación de nuevo SMS, de manera que el resto de las aplicaciones instaladas no tienen conocimiento del SMS. La aplicación fue probada en un emulador y se comprobó que realiza las acciones tal como aparecen en el código analizado. Figura. 7: Broadcast Receiver adicionado al manifest Figura. 9: Intercepción del mensaje Cola

5 estamos exentos a ser afectados por aplicaciones malignas, incluyendo las que son hechas en Cuba o para Cuba. Con el trabajo realizado se logró incorporar al motor antivirus de Segurmática la capacidad de detección de aplicaciones de Android malignas. Se recomienda el desarrollo de una aplicación de seguridad orientada a dispositivos con Android, de manera que el análisis pueda hacerse directamente desde el dispositivo.. Figura. 10: Modificación del contenido de la tarjeta de memoria 5. REFERENCIAS BIBLIOGRÁFICAS 1. StatCounter Global Stats 2. Kaspersky Lab, Mobile Malware Evolution: System Permissions Figura. 11: Contactos codificados y después de decodificar El producto Segurmática Antivirus identifica el paquete de instalación de esta versión maligna con el nombre ANDROID.SMCOLA. 4. CONCLUSIONES Y RECOMENDACIONES El uso de Android como sistema operativo móvil en Cuba va en ascenso, y a pesar de que no tiene el nivel de penetración que tienen otros países no 6. SÍNTESIS CURRICULAR DEL AUTOR Pablo Hernández Valdés (Artemisa, 1984) pabloh@segurmatica.cu Graduado de Ciencia de la Computación en la Facultad de Matemática y Computación de la Universidad de la Habana en el año Trabaja desde ese año en la Empresa de Consultoría y Seguridad Informática, Segurmática, es especialista del grupo Motor Antivirus y además participa en el desarrollo de software orientado a la seguridad, principalmente filtros para servidores de correo electrónico. Ha impartido diferentes talleres y presentado ponencias en el X y XI Seminario Iberoamericano de Seguridad en las Tecnologías de la Información.