Así fue cómo 18 aplicaciones de malware se colaron en el Apple Store

El ecosistema de aplicaciones del iPhone es uno de los más seguros que pueden adquirirse hoy día, gracias al gran control que ejerce Apple sobre su App Store. Aún así, es posible que algunas aplicaciones lleguen a superar los severos controles de seguridad. Recientemente, unas 18 aplicaciones consiguieron diseñar técnicas de evasión para esquivar todos esos procesos de defensa. Vamos a ver cómo lo consiguieron.

Una serie de aplicaciones, las cuales iban desde una calculadora hasta incluso uno sobre cómo realizar ejercicios de yoga, aparentemente inocuas, realizaban una serie de tareas en background un tanto oscuras. Por ejemplo, creaban anuncios invisibles los cuales generaban clicks falsos en un sitio web para aumentar sus ingresos por publicidad. Este tipo de malware se llama adware y realmente el único impacto sobre el usuario sería una disminución de la duración de la batería y posiblemente mayor consumo de datos. No existe un daño directo a la confidencialidad ni a la integridad del dispositivo, están enfocadas únicamente a sacar un beneficio económico indirecto por publicidad.

Figura 1. Iconos de las aplicaciones afectadas por el adware. Fuente.

Pero lo importante no es realmente lo que hacían, sino cómo consiguieron llegar al App Store. La empresa de seguridad Wandera detectó una actividad inusual en una aplicación aparentemente normal, como es un simple velocímetro. Pero de repente, la aplicación conectó con un servidor de "Command and Control", que también ejercía la tarea de emisor de la publicidad que antes hemos mencionado. Consiguieron identificar al desarrollador de la aplicación llamado AppAspect Technologies (India) y además vieron que tenían otras aplicaciones (17 más). Así que las instalaron y comenzaron también a monitorizarlas.

Lo curioso es que en principio, no detectaron nada extraño. De hecho durante varios días ejecutaron las aplicaciones en varios dispositivos y no vieron ninguna comunicación extraña con ningún servidor. Y aquí viene lo mejor. Las pruebas se realizaron utilizando WiFi y durante ese periodo no se activó ninguna acción maliciosa. En cambio, cuando los desarrolladores añadieron una tarjeta SIM, y después de un tiempo, comenzaron a ver actividad enviada a ese servidor de adware. Es decir, estaban programadas para detectar una SIM, pero además, estaban programadas para esperar un tiempo razonable antes de realizar la conexión. Este es el listado de dichas aplicaciones:

• RTO Vehicle Information
• EMI Calculator & Loan Planner
• File Manager - Documents
• Smart GPS Speedometer
• CrickOne - Live Cricket Scores
• Daily Fitness - Yoga Poses
• FM Radio PRO - Internet Radio
• My Train Info - IRCTC & PNR​ (not listed under developer profile)
• Around Me Place Finder
• Easy Contacts Backup Manager
• Ramadan Times 2019 Pro
• Restaurant Finder - Find Food
• BMI Calculator PRO - BMR Calc
• Dual Accounts Pro
• Video Editor - Mute Video
• Islamic World PRO - Qibla
• Smart Video Compressor

Si un dispositivo tiene una SIM quiere decir que pertenece a una persona real con un número de teléfono y una línea, y no a un ecosistema montado para detectarlo. Es decir, estaba perfectamente programado para calcular los tiempos de espera y detectar la tarjeta SIM. Cuando contactaron con la empresa AppAspect Technologies estos comentaron que no tenían ni idea de este comportamiento. Lo más inquietante de toda esta historia es que podemos creer perfectamente a la empresa AppAspect, ya que la mayoría de empresas compran e insertan código de terceros en sus programas, muchas veces, como podría ser este caso, sin analizarlos previamente.

Apple ha retirado las aplicaciones y lo mejor de esta historia es que a partir de ahora, no sólo se centraran en comportamientos asociados al malware y se ha abierto un nuevo enfoque poniendo en el punto de mira al adware. Todo lo que sea mejorar los sistemas de detección de malware es bienvenido en el ecosistema de Apple.

Un fallo en la tienda online de Apple expone el PIN de miles de clientes de T-mobile

El pasado mes de agosto se detectó un importante fallo en la seguridad de la tienda online de Apple, como consecuencia de este fallo han quedado expuestos los 'pines' de más de 72 millones de clientes de T-Mobile (operador de telefonía móvil de origen alemán). La vulnerabilidad fue descubierta por dos investigadores, conocidos como Phobia y Nicholas Cearolo, los cuales también descubrieron un fallo similar en la página web de una compañía aseguradora de teléfonos llamada Asurion durante los anteriores meses.

Tanto Apple como Asurion ya han arreglado sus páginas solucionando el problema de exposición de los pines de sus usuarios, como es habitual Apple no ha querido dar detalles acerca del fallo, sin embargo ha agradecido su trabajo a los investigadores que encontraron la brecha en su seguridad. Los pines o contraseñas son números que se utilizan como una medida de seguridad adicional y suelen ser la última línea de defensa en las cuentas móviles. Hoy en día estos pines son más importantes que nunca, el SIM hacking, que utiliza ingeniería social para transferir el número de teléfono de una víctima a otra tarjeta SIM, ha incrementado exponencialmente durante los últimos años.

Figura 1: Página que solicita el PIN el número de teléfono

Para acceder a los pines de T-Mobile desde la web de Apple los investigadores realizaron un ataque de fuerza bruta en el que un software era capaz de dar con el pin correcto tras probar con numerosas combinaciones posibles. Según BuzzFeed, al iniciar la compra de un iPhone de T-mobile a través de la tienda online y seleccionar la opción de pago mensual con la factura de teléfono, los usuarios son redirigidos a un formulario de autenticación en el que se les solicita un número de teléfono y un pin de 4 dígitos, esta página permite introducir el pin un número ilimitado de veces haciendo que sea posible realizar un ataque de fuerza bruta. Por el momento esta vulnerabilidad parece afectar únicamente a los usuarios de T-mobile, ya que con el resto de compañías el formulario solo te permite introducir el pin incorrecto un determinado número de veces.

Cómo saber si el iPhone o iPad que voy a comprar es robado

En muchas ocasiones se han registrado estafas debido a la compra de dispositivos iPhone robados que son bloqueados. Apple ha lanzado una guía con la que se pretende evitar precisamente que los estafadores se aprovechen de una venta un dispositivo Apple. Si vas a comprar un dispositivo de este tipo, antes de transferir la propiedad de un iPhone, iPad, Apple Watch o iPod Touch se debe tener en cuenta una serie de cosas, pero sobretodo que el bloqueo de activación esta desactivado y el dispositivo está listo para el próximo usuario.

A continuación se exponen diferentes pasos que el comprador debe tener muy en cuenta, si no quiere obtener una desagradable sorpresa cuando pruebe su "flamante" iPhone. Enumeremos pasos a tener en cuenta en el proceso de compra:

• Identificar correctamente la versión del modelo que se va a adquirir.

• Buscar el número de serie, el IMEI/MEID y el ICCID del dispositivo. En Ajustes - General - Información podemos encontrar toda esta información.

• Si no se puede acceder al menú Ajustes, podemos obtener información sobre el IMEI/MEID en la bandeja de la SIM. O mirando en la caja, o en la parte de atrás. En este artículo puedes saber dónde está el IMEI de iPhone en todas las ubicaciones en qué se encuentra.

Figura 1: Bandeja de la SIM del iPhone dónde se puede leer el IMEI7MEID

•  En el sitio web que Apple proporciona para comprobar el estado de bloqueo de activación se puede introducir el IMEI/MEID o número de serie. Este paso es realmente importante, ya que nos dará toda la información necesaria. 

• Si aparece un mensaje como el que se muestra a continuación significa que el iPhone sigue siendo utilizado por otra persona o que fue robado. Es decir, será imposible reiniciarlo a configuración de fábrica, personalizarlo y utilizarlo. En otras palabras, no se debería comprar.

Figura 2: iPhone utilizado o robado

Estos consejos son muy recomendados para disminuir las estafas en las compras de segunda mano de dispositivos iPhone. Desde Seguridad Apple recomendamos que tenga en cuenta esta pequeña guía y evita que alguien se aproveche de su dinero.

Lookout: Seguridad para iOS más allá de Find my iPhone

Como anuncian en su sitio web,  Lookout proporciona una nueva visión de seguridad post-pc. En un mundo en el que todo está interconectado es importante estar protegido y seguro con los datos que tratamos y procesamos con nuestros dispositivos. Lookout es una solución de protección que proporciona al usuario un backup de los datos y la posibilidad de almacenarlo en la nube, mediante el registro en Lookout. Por otro lado, permite verificar dónde se encuentra el dispositivo, y dónde se encontraba en la última posición conocida, por si se ha extraviado.

Además de todo eso, tiene funcionalidades de seguridad Antitheft (antirobo) muy interesantes para hacer mucho más dura la vida a los ladrones, como por ejemplo la posibilidad de realizar un bloqueo de SIM, para que en caso de insertar una nueva SIM en el terminal, éste no funcione.

Figura 1: Panel central de Lookout en iPhone

La aplicación se divide por categorías, dónde podemos encontrar 4 grandes grupos:

• Missing Device. Esta categoría proporciona al usuario la funcionalidad para poder geolocalizar el dispositivo en cualquier instante, poder realizar una llamada pérdida al teléfono para poder escucharlo en cualquier parte, enviar un mensaje perdido o hacer sonar el dispositivo.
• Security. Esta categoría permite localizar servicios y monitoriza los procesos que hay en el dispositivo.
• Backup. Realización de un backup y subirlo a la cuenta de Lookout en la nube. Con esto se consigue que ante casos de pérdida o de robo la información se pueda recuperar.
• Theft Alerts. Emails automatizados desde la aplicación para poder obtener información en diversas circunstancias.

La idea es interesante y muy potente, se disponen funcionalidades que permiten ayudar a la localización del dispositivo ante robos, e incluso permiten bloquear partes fundamentales del terminal como es el uso de la SIM. De esta manera se está impidiendo el disfrute del terminal, o al menos poner trabas, ya que ante un Jailbreak, o sencillamente la desinstalación de la aplicación, la funcionaildad no nos serviría.

Figura 2: Theft Alerts

La parte cloud de Lookout la hace tener un control sobre el terminal importante, sobretodo al tener duplicada cierta información de seguridad que se encuentra en el terminal, como es el caso de las últimas ubicaciones. Este hecho sería polémico en otros ámbitos, pero es el usuario el que da consentimiento para almacenar toda esta información en lo servidores de Lookout. Te recomendamos que pruebes la herramienta y fortifiques, tanto al dispositivo como el uso de éste.

Apple patenta la extracción segura de SIM en dispositivos

En la última oleada de patentes que han sido publicadas se ha visto que Apple ha solicitado una patente que describe, bajo el título de Systems and Methods For Ejecting Removable Entities from Devices, un sistema para la extraer piezas, como puede ser la SIM de un terminal, de forma segura. Para ello, el sistema describe que la extracción deja de ser solo algo mecánico, y se convierte en algo que que combina software y hardware, para poder validar de algún modo el proceso. 

Figura 1: El usuario necesita lanzar la acción vía software

En el ejemplo que se pone, se puede ver que solo se podría hacer mediante una orden de software que previamente ha autenticado al usuario del terminal, que debe pulsar sobre el botón para poder lanzar un mecanismo, que se puede ver en las imágenes siguientes, por lo que saldría el componente fuera del dispositivo.

Figura 2: Descripción de los componentes mecánicos controlados por software para hacer la extracción

Si tenemos en cuenta que Apple ha activado Find My iPhone y el Activation Lock, junto con la biometría del terminal que se plantea extender a toda la pantalla, se podría hacer que un terminal robado no pudiera expulsar la SIM y dificultase aún más a la labor a todos los ladrones.

¿iOS 7.0.2: Bug de Sim Lock Screen Display Bypass?

Se ha publicado en Full Disclosure un bug que nos ha soprendido un poco. Supuestamente permite saltar la restricción de Sim Lock Screen para llegar a acceder a la pantalla normal de terminal bloqueado en un iPhone con iOS 7.0.1 o iOS 7.0.2. En teoría quiere decir que en ese método no se permite acceder a todas las funciones a las que se puede acceder a un terminal bloquedado con passcode pero con la SIM desbloqueada. Según el artículo, con este método es posible acceder a algunas de ellas, como el uso de la cámara de fotos - algo que en el modo Sim Lock supuestamente no -, pero nosotros tenemos nuestras dudas. Primero observad el vídeo.

Figura 1: Vídeo del supuesto bug

El proceso descrito en el documento publicado es un poco largo, y exige utilizar un hipervínculo en el calendario y una redirección de la calculadora para poder hacerlo, pero al final solo han quitado el mensaje de SIM LOCK en pantalla. Y no hay que recorrer tanto camino para ello. Si os fijáis podéis ver que el terminal es un iPhone 5 y no un iPhone 5S o un iPhone 5C. Nosotros hemos hecho lo siguiente en menos tiempo:

1.- Reiniciamos el terminal iPhone 5 con iOS 7.0.2 hasta que sale "CODIGO PIN".
2.- Hemos sacado el Centro de Control y abierto la calculadora.
3.- Cuando sale la opción de Introducir el PIN le das a cancelar.
4.- Ya estás en el modo normal de bloqueo.

El paper está lleno de pequeños errores técnicos. Comienza diciendo que el bug es en iOS 7.2, algo que no existe. Luego continúa diciendo que afecta a iOS 7.0.1 y a iOS 7.0.2, pero para hacer el POC dice que hay que asegurarse de que sea iOS 7.0.1. Esto, suponemos que no son más que errores de falta de revisión habituales, pero lo que nos preocupa son las pruebas que se ven en el vídeo.

Al final, en este método sólo se permite - como algo extra - ver el fondo de pantalla que se tiene, pues todas las demás funciones están disponibles en el modo de bloqueo normal y en el modo de SIM Bloqueada. Pero es que lo más sencillo es quitar la SIM y directamente estás en el modo de terminal bloqueado, pero sin SIM.

Según el documento de publicación, se espera que Apple lo arregle  en iOS 7.0.3, pero nosotros tenemos algunas dudas al respecto, pues aún no hemos visto claro este bug. Esto ya pasó con anterioridad con otros No Bugs como el No Bug de saltarse el passcode en iOS 6.1, que fue otro FAIL.