El ‘troyano’ Soundminer, monitorea las llamadas y los registros de los teléfonos Android cuando una persona, por ejemplo, informa del número de su tarjeta de crédito o lo introduce en un teclado, según el estudio presentado por los investigadores. Mediante diversos análisis técnicos elimina la información superflua hasta dejar la esencial, como el propio número de la tarjeta de crédito, y envía sólo esa pequeña porción de información al hacker por la red.

El estudio ha sido realizado por Roman Schlegel, de la City University of Hong Kong, y Kehuan Zhang, Xiaoyong Zhou, Mehool Intwala, Apu Kapadia y XiaoFeng Wang, todos ellos de la Indiana University. “Hemos implementado Soundminer en un móvil Android y evaluado nuestra técnica usando los datos manejados en una conversación telefónica lo más realista posible”, escriben los autores.”Nuestro estudio muestra que es posible identificar, desvelar y robar el número de una tarjeta de crédito. Por tanto, el reto de que suceda un ataque similar es real”.

Soundminer está diseñado para solicitar los menos permisos posibles para evitar sospechas. Por ejemplo, Soundminer puede acceder sin problemas al micrófono del teléfono, pero el acceso a los datos transmitidos o a la lista de contactos, o la interceptación de las llamadas salientes, podrían levantar sospechas.

Así, en otra versión del ataque, los investigadores emparejaron Soundminer con otro troyano llamado Deliverer, encargado de enviar la información recogida por el primero. Como Android evita esa comunicación entre aplicaciones, los autores investigaron una forma furtiva para que Soundimenr y Deliverer se comunicarán entre sí. Descubrieron lo que denominan “canales encubiertos”, donde los cambios que se realizan en una característica son comunicados a otras aplicaciones que puedan verse afectadas por ellos, como, por ejemplo, la configuración de la vibración.

Soundminer codifica los datos sensibles de forma que aparecen como si fuera una configuración de vibración, y Deliverer los decodifica y los envía a un servidor remoto. Tal canal de configuración de la vibración encubierto sólo tiene 87 bits de ancho de banda, una cifra pequeña pero suficiente para enviar los 54 bits que supone el número de una tarjeta de crédito, según los investigadores.

El código de Soundminer reconoce los números y la voz de las llamadas sobre el propio teléfono, liberándose así de tener que enviar por la red largas cadenas de datos para que sean sometidas a análisis posteriores, lo que podría ser identificado por el software de seguridad.

Como, al utilizar un canal encubierto, Soundminer no necesita acceso directo a la red para enviar la información, es difícil que levante sospechas. En las pruebas ralizadas por los investigadores, ninguno de los programas antivirus para Android aplicados, VirusGuard de SMobile Systems y AntiVirus de Droid Security, fueron capaces de identificar Soundminer como malware, incluso cuando estaba registrando y cargando datos.

En un comunicado emitido por Google, responsables de la compañía en Londres, sin referirse directamente a Soundminer, aseguran que Android está diseñado para minimizar el impacto de “aplicaciones maliciosas o pobremente diseñadas” cuando aparecen en un dispositivo. Según Google, si los usuarios creen que una aplicación es dañina o inapropiada, pueden intentar minimizar su impacto o eliminarlas del dispositivo. “Las aplicaciones sospechosas de violar nuestras políticas son eliminadas de Android Market, así como sus desarrolladores”.