Una de las aplicaciones de Google más útiles en smartphones está siendo utilizada por los hackers para rastrear la ubicación GPS de las víctimas y borrar de forma remota los datos de los dispositivos. Investigadores de seguridad han descubierto que la app en cuestión es Find Hub de Google, la anteriormente conocida como Encuentra mi dispositivo.
El ataque está atribuido por la firma de ciberseguridad Genians al grupo de actividad KONNI y muestran un método bastante curioso en el que los atacantes no solo buscan robar datos, sino también aislar a los objetivos y borrar cualquier rastro de actividad. Sin duda, supone un peligro debido a que es un método que utiliza una app de Google, así que parece que ni siquiera el propio gigante de las búsquedas puede escaparse de esta clase de inconvenientes.
El nuevo método de los hackers para robar datos
La puerta de entrada de este ataque malicioso es una aplicación de mensajería instantánea en Corea del Sur, donde se están produciendo la gran mayoría de los casos. Las víctimas reciben mensajes que suplantan la identidad de entidades oficiales, como la Policía. Si el usuario cae en el engaño y ejecuta el archivo malicioso adjunto, el malware se establece en el dispositivo y se comunica con un servidor para descargar archivos secundarios útiles para el ataque. Según la información, estos archivos incluyen troyanos de acceso remoto.
El principal objetivo de los troyanos consiste en robar las credenciales de los usuarios, pues, una vez que el dispositivo está infectado, el virus busca y recopila los datos de inicio de sesión de las cuentas de Google del usuario. Cuando los hackers obtienen acceso a la cuenta es cuando saltan las alarmas. Esto debido a que inician sesión en Find Hub, la app Localizador de Google en tu dispositivo, cuyo servicio permite a los usuarios encontrar sus dispositivos Android e incluso bloquearlos o borrar sus datos.
Aquí, los hackers parten con doble ventaja: en primer lugar, pueden consultar la ubicación GPS exacta del teléfono de la víctima. Por otro lado, tienen acceso al botón para restablecer de fábrica el dispositivo. El análisis forense de un caso reveló cómo funciona precisamente el ataque. Los hackers rastrean al usuario por GPS y esperan al momento oportuno para actuar, como cuando la víctima estaba fuera de casa y era menos probable que pudiese reaccionar con rapidez. Fue en ese momento cuando ejecutaron el comando de borrado remoto y, para asegurar la destrucción de todos los datos, repitieron el comando hasta en tres ocasiones.
Cómo protegerse del ataque
Tras salir a la luz la noticia, Google ha aclarado que este ataque no explota ninguna vulnerabilidad en Android o en la app Localizador de Google. El problema radica en el robo de credenciales, es decir, el ataque requiere que el malware se encuentre presente en el dispositivo de la víctima para robar las contraseñas.
De modo que la principal recomendación de seguridad, tanto de expertos como de Google, consiste en habilitar la verificación en dos pasos. Esta capa de seguridad adicional impide que los atacantes tengan acceso a la cuenta de Google, incluso después de haber robado la contraseña. Además, se recomienda a los usuarios no descargar ni abrir archivos adjuntos no solicitados sin verificar la identidad del remitente.