lunes, noviembre 04, 2013

Troyano para espiar un Android o para espiar a través de él

Para la realización de una demostración durante la grabación de un programa de Televisión sobre el espionaje a las personas decidimos comprar un troyano para terminales smartphone bastante profesional. El sistema funciona tal y como se explica en el libro de Hacking iOS: iPhone & iPad con un panel de control basado en servicios web al que se conectará el troyano para enviar los datos desde el smartphone y recibir los comandos y al que también se conectará el administrador del troyano para acceder a la información y manejar todos los datos.

En el caso de los dispositivos Android hay que conseguir que el terminal esté rooteado o que el usuario motu proprio decida instalarse el apk del troyano, ya sea vía ingeniería social o explotando algún bug que se descubra. En el caso de iPhone o iPad ya he contado varias veces las formas que existen para troyanizar el terminal iOS, algo que se hace un poco más complicado que un terminal Android.

En el caso en concreto nuestro, troyanizamos un terminal con Android, y procedimos a ver qué opciones teníamos disponibles y cómo funcionaban, y la verdad es que nos sorprendió lo bien que funcionaba y lo difícil que es detectarlo si no hay un antimalware instalado o se hace un análisis forense del terminal.

Figura 1: Seguimiento GPS de las ubicaciones del troyano en el teléfono Android

Entre las opciones más evidentes se encuentran la de geoposicionar al terminal en todo momento, registrando desde la ubicación inicial donde lo dimos de alta en Eleven Paths, pasando por todos los lugares donde se haya encontrado alguna vez el terminal.

Figura 2: Registro y grabación de llamadas emitidas y recibidas

Por supuesto, el software realiza el registro de todas las llamadas entrantes y salientes, y si se activa la opción, realiza la grabación del audio de las llamadas desde el micrófono y el altavoz del terminal, para que desde la página web se puedan escuchar todas las conversaciones.

Figura 3: Opciones de grabación de herramientas de mensajería

La lista de opciones es larga, leer los mensajes SMS, los correos electrónicos de Gmail, los mensajes y conversaciones de Skype, Viber, y por supuesto la demandada opción para espiar WhatsApp, pudiendo ver todas las conversaciones en todo momento.

Figura 4: Registro de mensajes de WhtasApp

De todas ellas, las que más nos sorprendió es la de controlar el terminal por medio de mensajes SMS que el dueño del terminal nunca podrá interceptar, ya que el troyano está construido para interceptar cualquier evento haciendo uso de Broadcast Receviers - tal y como se explica en el libro de Desarrollo de Aplicaciones Android Seguras -, lo que le permite recibir el mensaje y procesarlo.

Figura 5: Comandos de control remoto por SMS

Entre las opciones que hay de control remoto están las de arrancar o parar aplicaciones, bloquear el terminal en un determinado instante o borrar el terminal completamente.

Figura 6: Comando SMS para grabar el audio de un entorno 

De todas ellas, la que más asusta es la de poder enviar un comando SMS para grabar el entorno, sin que el dueño del terminal lo sepa, el teléfono se pone a grabar por el micrófono durante uno o varios minutos y después sube el archivo de audio a la web para que pueda ser escuchado en el momento.

Figura 7: Entornos de 1 minuto grabados en la web

Esta opción puede ser utilizada para espiar conversaciones en reuniones a las que no ha sido invitado alguien o para grabar cuando se produzca algún evento disparador - al llegar a una ubicación, al llegar una hora concreta, etc... -.

Visto esto, os recomiendo que si tenéis un terminal iPhone tengáis controlado el terminal en todo momento, con passcode complejo, sin Siri, actualizado a la última versión y sin jailbreak a ser posible. Si tienes un Android, además de todas esas medidas - salvo la de Siri y Jailbreak - evita bajarte apps con permisos raros, pon un antimalware y evita rootear el teléfono... y cuidado con el WhtasApp que te bajas.

Saludos Malignos!

50 comentarios:

AHMAD KURNIAWAN SIDDIK dijo...

visit from indonesian......

Anónimo dijo...

nombre del troyano please


Anónimo dijo...

A mi también me gustaría saberlo, más bien para ver si el antivurus ya lo tiene fichado.

¿También se suelen hacer "indetectables" como los de PC?
Entiendo que no puedas decirlo, pero alguna pista del nombre... jejeje

JuanQ dijo...

Hola Chema,

Recomendarías algún anitmalware para Android?
Gracias.

TechBlog dijo...

Cómo se llama el troyano?

marcos cisneros dijo...

Como se llama el troyano ?

MARIA dijo...

No se puede decir cómo se llama el troyano porque es hacer publicidad de una cosa mala. Lo ha dicho en la radio. Y también que los antivirus los detectan (hombre, salvo que sea uno muy nuevo que acabe de salir).
Instalaos uno y, sobre todo, tened cuidado con lo que os descargáis.

Yo vi hace tiempo una demo en directo de un troyano parecido que se había hecho un chico en cuatro tardes y había metido en un falso Angry Bird que puso en su propio teléfono para mostrarnos cómo funcionaba.

Lo que hay que hacer es tener cuidado con las cosas que descargar de la tienda. Porque a veces suben apps troyanizadas que son muy similares a las auténticas. En el caso de Angry Bird, por ejemplo, hay que fijarse que sea Rovio, etc.

Toda precaución es poca. El problema es que tapar el micro no es tan fácil como tapar la cámara.

Anónimo dijo...

no se trata de publicidad se trata de informacion completa y veraz al final el troyano tiene un costo no significa que todos lo van a comprar, sino informarse completamente y los que tengan el dinero verificar por su propia cuenta si el software funciona verdaderamente ya le corresponde a cada quien si el software lo utiliza para bien o mal

debish dijo...

Pues mira, se me ocurre que hay un software para Android igualico igualico a lo que mencionas llamado Cerberus, con la única diferencia de que es el propio usuario el que "troyaniza" su dispositivo para tenerlo todo bajo control si se lo mangan.

¡Y te lo venden como aplicación antirrobos los muy sinvergüenzas! :P

Juanjo dijo...

Para esto viene muy bien apps como XPrivacy para quitar permisos a las apps, si crees que realmente no lo necesita.

Unknown dijo...

Pues el RAT se ve bastante elaborado, de hecho se ve como una app muy util para entornos empresariales donde se pueda requerir que hacen los usuarios con las terminales que les asignan.

Al menos yo lo usaria para ese fin.

Por otra parte, seria bueno que hablaran de un tema de RATs y cuales son sus implicaciones legales...

Saludos!!

Anónimo dijo...

Pues el Rat cuesta caro, igualmente sirve para Android, IOS, Blackberry
ya lo he utilizado antes es buenisimo.

Unknown dijo...

Ya supe cual es, de hecho fue sencillo. Solo basta con googlear un poco y darte cuenta que las capturas de pantalla en el articulo son muy descriptivas.

Y no se me hace caro, lo unico que me da molestia es que es un servicio que depende de un tercero. Yo me iria mas por un servicio donde la plataforma de control este en un server propio. Asimismo, controlar un poco las opciones de traslado de informacion, que todo lo que sea video, audio y fotos no se transmita por Red Celular o hasta que se conecte en un WiFi.. Etc.

Seria el mismo principio que las herramientas de GPS.

Anónimo dijo...

el soft este no es más que lo que hace ya aaaaños se aplica a los pc's. la diferencia es que al ser móvil y tener gps se le añade el seguimiento, pero la base es la misma.
se pueden crear excepciones en algunos antivirus para que el usuario lo tenga instalado y además se crea seguro...
teléfonos de empresa, maridos/esposas celos@s, control parental... blablabla..

Anónimo dijo...

nombre por favor del troyano?? como la juegan

DresiSS dijo...

No tapes los números que salen en la entrevista :P

Anónimo dijo...

Hola y no se supone que los terminales deberían estar diseñados para que no se pudieran espiar remotamente?

Por cierto, alguna recomendación de antimalware para windows phone? O estoy jodid@??xD

Anónimo dijo...

Creo que se trata de FlexiSpy.

CHEMA DIOS ! dijo...

Este es el troyano

http://www.stealthgenie.com/es/

Anónimo dijo...

yo creo que a veces y sabiendo que tipo de soft y hardware estas corriendo, es muy util revisar este tipo de vulnerabilidades, es muchas veces interesante lo que puede llegar a aportar en terminos de conocimiento.

lkak0l dijo...

A ver yo d esto soy bastante garrulillo.... pero la app esta del troyano se puede agrupar en otra app con algun joiner rollo pc?
Salaullidos

Anónimo dijo...

Por favor me pueden dar indicaciones como colocar un troyano a un Galaxy (android), tengo acceso al equipo sin problema, mi idea es tener su ubicación y mensajes
whatsapp...Po favor su ayuda
Gomez@adsl.tie.cl

Unknown dijo...

Como otros usuarios quiero consejo sobre algún anti troyanos para mi móvil. En el pc malwarebytes hace maravillas pero ando perdido para android

guadalupe dijo...

Me he dado cuenta de algo curioso en mi móvil y, buscando información por internet,he llegado a esta página. Tal vez podáis ayudarme y os estaría muy agradecida. Ayer vi que en la galería de imágenes de mi móvil, en las imágenes relativas a la cámara (no en ninguna otra, ni bluetooth, ni download, ni PicsArtCamera, etc.)aparece la siguiente leyenda lógica "Cámara" y debajo justo -ya nada lógico- pone "Guadalupe-Santa Coloma de Gramanet". Alucino. Mi nombre junto al de una población que no conozco absolutamente de nada y sin saber porqué aparece ahí. Se os ocurre alguna posibilidad? Es posible que alguien me esté espiando? Mis conocimientos sobre todos los temas de los que habláis son "ninguno" por lo que os considero sabios en estas materias. Gracias por adelantado.

Unknown dijo...

QUIERO HACER UN TROYANO PARA PC TU ME PUEDES AYUDAR O ME PUEDES VENDER UNO

ahli seo dan pakar seo indonesia dijo...

iam pakar seo and ahli seo from indonesian

Anónimo dijo...


Aqui os dejo la pagina que usa chema en el post "Troyano para espiar un Android o para espiar a través de él" http://www.stealthgenie.com/es/android-monitoring-software.html
Un saludo @josecrp92

APks for androip dijo...

Muy interesante lo que pubicas, el unico malo por logica nececitan trafico de datos para enviar o recibir las actualizaciones.

Anónimo dijo...

Por favor, por favor, que programa es??? yo también quiero espiar,
¿Pero de donde salís chicos? El cociente intelectual anda bajo por aquí.

Anónimo dijo...

Y al revés, cómo puedo saber si alguien está espiando mi móvil android, mi ipad o mi pc?

Anónimo dijo...

Le doy un tip... Ojo .. No estoy haciendo publicidad a algo malo Solo estoy advirtiendo a los usuarios para que tengan cuidado y mejoren la seguridad en sus terminales... Lo que tienen que hacer para saber de cual troyano o sofware se habla en un blog o pagina, copien la imagen con click derecho y en las opciones busquen la que dice .. BUSCAR IMAGEN EN GOOGLE.. Y adivinen que... No solo saldra el nombre sino infinidad de informacion... Asi lo hago yo.. Y siempre consigo la informacion... Muchas gracias... ACLARO QUE NO ESTOY HACIENDO PUBLICIDAD A NINGUN TROYANO NI MALWARE NI NADA PARECIDO... SOLO ES INFORMACION PARA SU SEGURIDAD PERSONAL... NO SOY RESPONSABLE... SOLO ESTOY SIENDO COMUNICATIVO.... JJJJ
Atte Corellita

Anónimo dijo...

pues no se si son troyanos pero no lo parecen tanto por los sitios donde se venden mismamente....
Por ejemplo en la playstore pones las palabras cuidado parental, o pones localizar tu movil, y tienes de esto lo que quieras, uno por ejemplo que se llama localizar movil te ofrece todo esto gratis 3 dias, pero contratar 1 año entero, es jodidamente barato... demasiado en malas manos.

Anónimo dijo...

Hola a mi me apareció en mi iPhone que troyano quería entrar a mi whatsapp sin autorización que precionara ok para detener la invacion lo hice pero pues no se que onda con eso me dejo preocupado espero puedan ayudarme explicándome que onda. Gracias

Andrés dijo...

Spybubble, Mspy, StealthGenie, todos son de pago, y caros. No son troyanos puramente dichos, son programas comerciales. Otra alternativa no tan orientada a eso y un poco más cutre es SpyTic.

Anónimo dijo...

Alguien sabe la marca del terminal móvil, me sorprende la precisión GPS.

Anónimo dijo...

el troyano se llama rat y es para android

agen pemadam api dijo...

Como se llama el troyano ?

Anónimo dijo...

Como puedo espiar el whatsapp de mi esposa para estar seguro que no me es infiel me gustaría su ayuda si se puede gracias.

Unknown dijo...

Disculpa Chema, me gustaria aprender hacking ético, que carrera se estudia para esto y como se aprende?

Anónimo dijo...

al parecer tengo un troyano muy avanzado y me impide su eliminación y de hecho es como si existiera, me tiene muy preocupado quisiera saber como eliminarlo ya que ningún antivirus lo elimina..si pudiesen decirme algún método..gracias!

Anónimo dijo...

Hola yo estoy buscando un troyano para probar la seguridad de mis datos y si el backup de un nuevo programa(es un programa que hace backup porque el window no me gusta) que instale funciona
y quisiera que me digan que troyano puedo probar por lo menos para que destruya algunos datos y probar si sirve el backup porque no me deja instalar el bachup porque dice que no se ha hecho una modoficacion en el sistema, ya probe desintalndo e instalando programas y nada! jaja una mugre!
gracias por su atencion

Anónimo dijo...

Pueden bloquear el cel para que no lea el código de watsahp web de otro cel?

Unknown dijo...

Creo que los dispositivos con el sistema operativo Android no son fiables en general ...existen varias apps de rastreo y monitoreo movil que lo hacen posible espiar un celular Android remotamente sin que se den cuenta.
Por ejemplo, este blog proporciona las mejores apps de espionaje para Android en 2016

http://topandroidespia.com/

Chema dijo...

Instale my spy en el móvil de un hijo adolescente pero un antivirus me lo inhabilitó
Por control remoto podría acceder a mi correo desea su móvil y reinstalarlo?

fulldeto dijo...

Yo digo k la mejor opcion para aser ese troyano mas facil y rapido para supervisar y detectar es via puthon. Porque es una herramienta que envia muy bien los directorio asiendo un ranger de copia de las carpeta y opciones del fimwares. Y toda las opciones de los comando. Es bueno

Alberto dijo...

la pagina donde cosigue el troyano la podeis ver en el video del aeropuerto si te fijas y lo paras en e segundo abajo ala izquierda y se ve el enlaze ala pagina Saludos amigentes

Unknown dijo...

Hola.... tuviste respuesta?.... yo estoy en las mismas

Unknown dijo...

Deja el opio

Unknown dijo...

Cuanto subnormal y lerdo por aquí, ridículos explicando sus mierdas y solicitando un troyano y como hackear waxaps ajenos, ridículos, patéticos. En fin.

Unknown dijo...

me gustaria aprender hacerlo podrias ayudarme

Entrada destacada

10 maneras de sacarle el jugo a tu cuenta de @MyPublicInbox si eres un Perfil Público

Cuando doy una charla a algún amigo, conocido, o a un grupo de personas que quieren conocer MyPublicInbox , siempre se acaban sorprendiendo ...

Entradas populares