Lo que deja un troyano móvil en el aparato

Las familias de malware móvil que más preocupan a una empresa se describen por su conducta, no por su nombre. Las superposiciones dibujan una pantalla propia encima de la de otra app, para que quien teclea crea estar en la verdadera. El abuso de accesibilidad aprovecha un servicio pensado para personas con discapacidad, que puede leer lo que muestra la pantalla y pulsar por el usuario. La mensajería de pago envía mensajes a números cortos de cobro sin que nadie lo vea. Los troyanos bancarios combinan varias de esas conductas para llegar al dinero.

Desde la defensa, cada conducta deja un rastro distinto: un acceso declarado en el paquete, un evento en la telemetría de la app atacada, un cargo en la factura del operador, una consulta repetida en la red. Por eso se identifica una familia con lo que se observa, y no por una etiqueta de un proveedor. El nombre sirve para buscar informes; la conducta sirve para decidir.

El archivo permisos-por-app.txt lista cinco apps. Un acceso suelto casi nunca dice nada: una app de tráfico puede dibujar una burbuja encima de otras, una de chat puede leer un código que le llega por mensaje. Lo que se vuelve señal es la combinación que ninguna función de la app justifica: poder ver la pantalla, poder dibujar encima, poder leer los mensajes y poder pedir instalar paquetes, en una app cuya única función es encender el flash.

No todo servicio de accesibilidad es malicioso: lo usa un lector de pantalla para una persona con baja visión. Si se tratara igual a toda app con ese acceso, se ahogaría al equipo en falsas alarmas y se castigaría a quien más lo necesita. Lo que distingue a la legítima es que tiene dueño, justificación y origen: está en el catálogo, la instaló el gestor y alguien responde por ella.

Un permiso sensible sin dueño es una pregunta abierta; con dueño, es un riesgo aceptado y vigilado. La vigilancia sigue: si el mismo tipo de servicio aparece de pronto en un paquete distinto, vuelve a ser una pregunta.

Saber qué app es solo la mitad. La otra mitad es el calendario de instalación: cuándo apareció en cada aparato y por qué camino. La primera fecha acota desde cuándo hay que revisar registros y sesiones; el origen (un archivo descargado en el navegador, y no la tienda oficial ni el gestor) dice cómo está entrando, y por tanto qué cerrar.