Ciberseguridad

La superficie de ataque del ecosistema Android vuelve a demostrar que su punto más vulnerable no siempre está en las aplicaciones, ni siquiera en el sistema operativo, sino en la propia cadena de suministro. Investigadores de Kaspersky han descubierto Keenadu, un backdoor incrustado a nivel de firmware en varias marcas de tablets Android, una amenaza compleja que recuerda a Triada —el conocido troyano preinstalado en dispositivos de bajo coste— pero con un alcance y una sofisticación aún mayores.

El hallazgo, publicado tras una investigación centrada inicialmente en Triada, revela un escenario inquietante: miles de dispositivos salieron de fábrica con una puerta trasera integrada en uno de los componentes más profundos del sistema, sin que los fabricantes ni los usuarios fueran conscientes de ello. Y lo más preocupante es que la infección no se produce en el dispositivo final, sino durante el proceso de construcción del firmware, en un punto crítico de la cadena de suministro donde la detección es extremadamente difícil.

Un ataque que nace en la fase de compilación

Según los analistas, Keenadu se introduce durante la fase de build del firmware, cuando una biblioteca estática maliciosa se vincula de forma silenciosa con libandroid_runtime.so, un componente esencial del sistema. Esta manipulación permite que, al arrancar el dispositivo, la biblioteca maliciosa se inyecte directamente en el proceso Zygote, el “proceso raíz” del que derivan todas las aplicaciones y servicios del sistema operativo.

En términos prácticos, esto significa que Keenadu se convierte en parte de cada aplicación que se ejecuta en el dispositivo, otorgando a los atacantes un nivel de control que rara vez se observa fuera de amenazas de espionaje avanzado. La infección no depende de que el usuario instale nada ni de que conceda permisos: viene de fábrica, integrada en el corazón del sistema.

Un backdoor modular con control total del dispositivo

El análisis de Kaspersky muestra que Keenadu está diseñado con una arquitectura en varias etapas, lo que permite a sus operadores desplegar módulos adicionales según sus objetivos. La amenaza es capaz de manipular motores de búsqueda, monetizar instalaciones de aplicaciones, interactuar de forma invisible con publicidad, descargar payloads adicionales y mantener una persistencia profunda en el sistema. La presencia del malware no se limita al firmware: los investigadores encontraron rastros de sus módulos en aplicaciones distribuidas a través de Google Play, Xiaomi GetApps y repositorios de terceros, lo que sugiere que los operadores de Keenadu han diversificado sus vías de distribución para maximizar el alcance.

Un origen aún desconocido, pero con un patrón claro

Aunque los analistas no han podido identificar con precisión el punto exacto de la cadena de suministro donde se produjo la intrusión, todo apunta a un compromiso en una fase compartida por varios fabricantes de tablets Android. La investigación rastrea parte del origen hasta Alldocube, un fabricante que publica sus archivos de firmware de forma abierta para auditorías de seguridad. Esto permitió a Kaspersky analizar las imágenes y confirmar la presencia del backdoor.

Según la telemetría recopilada, al menos 13.715 usuarios en todo el mundo han sido afectados por Keenadu o alguno de sus módulos asociados. Los países con mayor número de infecciones son Rusia, Japón, Alemania, Brasil y los Países Bajos, aunque la distribución es global y no se limita a un mercado concreto.

Una amenaza que evidencia la fragilidad de la cadena de suministro

El caso Keenadu vuelve a poner sobre la mesa un problema recurrente en el ecosistema Android: la fragmentación y la dependencia de múltiples actores en la cadena de suministro, desde fabricantes de hardware hasta integradores de firmware y proveedores de bibliotecas externas. Cada eslabón es una oportunidad para que un actor malicioso introduzca código sin ser detectado. Este tipo de ataques no solo compromete la seguridad del usuario final, sino que erosiona la confianza en los dispositivos de gama económica, donde los controles de calidad y las auditorías de firmware suelen ser más laxos.

Tras el descubrimiento, Kaspersky ha alertado a los fabricantes afectados para que distribuyan actualizaciones de seguridad lo antes posible. Sin embargo, la realidad del mercado Android complica la solución: muchos dispositivos económicos no reciben actualizaciones regulares, y otros dependen de intermediarios que tardan meses en distribuir parches. La recomendación para los usuarios es clara: instalar cualquier actualización disponible en cuanto llegue y evitar la descarga de aplicaciones desde repositorios no oficiales.