RedHook, un malware para dispositivos Android, ha evolucionado para abusar del mecanismo de Android Wireless Debugging (ADB inalámbrico), logrando acceso a nivel shell sin necesidad de conexión física a una computadora. Esta técnica permite al malware controlar el dispositivo con privilegios elevados, ampliando significativamente sus funcionalidades maliciosas.
Por qué importa: Esta nueva variante de RedHook puede manipular dispositivos Android de forma remota y silenciosa, sin requerir que el usuario conecte el teléfono a un equipo, lo que dificulta su detección y mitigación.
Lo esencial
RedHook activa opciones de desarrollador y depuración inalámbrica mediante permisos de accesibilidad.
Obtiene privilegios shell (UID 2000) para ejecutar comandos avanzados sin necesidad de root.
Soporta 53 comandos remotos, incluyendo captura de pantalla, control táctil y gestión de aplicaciones.
Imagen de referencia: BleepingComputer.
Abuso autónomo del ADB inalámbrico
El Android Debug Bridge (ADB) es una interfaz de depuración que permite controlar un dispositivo Android desde una línea de comandos. La función inalámbrica, introducida en Android 11, elimina la necesidad de conexión USB. RedHook engaña al usuario para que otorgue permisos de accesibilidad, con los cuales activa las opciones de desarrollador y la depuración inalámbrica, recupera el código de emparejamiento y se conecta localmente al servicio ADB del dispositivo.
Privilegios shell sin root y uso de Shizuku
Una vez conectado, RedHook obtiene privilegios shell (UID 2000), que son más potentes que los de una app común pero no equivalen a root. Utiliza el framework Shizuku, una herramienta legítima para usuarios avanzados, para ejecutar comandos con permisos elevados, modificar configuraciones protegidas y gestionar aplicaciones sin alertar al usuario.
Capacidades y persistencia del malware
El malware puede transmitir la pantalla, interceptar pulsaciones, simular gestos táctiles, bloquear o desbloquear el dispositivo, instalar o eliminar apps, recolectar datos personales y activar la cámara. Para mantenerse activo, emplea mecanismos como reproducción silenciosa de audio para aumentar prioridad, servicios que se reinician mutuamente, alarmas periódicas y reinicio automático tras encendido del dispositivo.
Impacto para usuarios y organizaciones
RedHook no requiere que el dispositivo esté rooteado, lo que amplía su alcance a la mayoría de dispositivos Android. La única condición es que el usuario acepte permisos de accesibilidad, lo que puede ocurrir mediante ingeniería social o engaños. Esto representa un riesgo elevado para la privacidad y seguridad de datos en móviles corporativos y personales.
Preguntas frecuentes sobre RedHook
¿Qué es el ADB inalámbrico y por qué es vulnerable?
El ADB inalámbrico permite controlar Android sin cables, pero si se activa sin precaución y con permisos abusivos, puede ser explotado para acceso no autorizado, como hace RedHook.
¿Cómo se diferencia RedHook de otros malware Android?
RedHook combina el abuso del ADB inalámbrico con el uso de Shizuku para ejecutar comandos privilegiados sin root, ampliando sus capacidades de control remoto y persistencia en el dispositivo.
