{"id":61,"date":"2026-02-26T18:49:38","date_gmt":"2026-02-26T18:49:38","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/02\/26\/la-puerta-trasera-del-firmware-de-keenadu-infecta-tabletas-android-a-traves-de-actualizaciones-ota-firmadas-cyberdefensa-mx\/"},"modified":"2026-02-26T18:49:38","modified_gmt":"2026-02-26T18:49:38","slug":"la-puerta-trasera-del-firmware-de-keenadu-infecta-tabletas-android-a-traves-de-actualizaciones-ota-firmadas-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/02\/26\/la-puerta-trasera-del-firmware-de-keenadu-infecta-tabletas-android-a-traves-de-actualizaciones-ota-firmadas-cyberdefensa-mx\/","title":{"rendered":"La puerta trasera del firmware de Keenadu infecta tabletas Android a trav\u00e9s de actualizaciones OTA firmadas \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"<div id=\"articlebody\">\n<p>Seg\u00fan nuevos hallazgos de Kaspersky, una nueva puerta trasera de Android que est\u00e1 integrada profundamente en el firmware del dispositivo puede recopilar datos de forma silenciosa y controlar de forma remota su comportamiento.<\/p>\n<p>El proveedor ruso de ciberseguridad dijo que descubri\u00f3 la puerta trasera, denominada <strong>Keenadu<\/strong>en el firmware de dispositivos asociados con varias marcas, incluido Alldocube, y el compromiso se produce durante la fase de compilaci\u00f3n del firmware. Keenadu se detect\u00f3 en el firmware Alldocube iPlay 50 mini Pro que data del 18 de agosto de 2023. En todos los casos, la puerta trasera est\u00e1 integrada en el firmware de la tableta y los archivos de firmware llevan firmas digitales v\u00e1lidas. Los nombres de los otros proveedores no fueron revelados.<\/p>\n<p>\u00abEn varios casos, el firmware comprometido se entreg\u00f3 con una actualizaci\u00f3n OTA\u00bb, dijo el investigador de seguridad Dmitry Kalinin. <a href=\"https:\/\/securelist.com\/keenadu-android-backdoor\/118913\/\" rel=\"noopener\" target=\"_blank\">dicho<\/a> en un an\u00e1lisis exhaustivo publicado hoy. \u00abUna copia de la puerta trasera se carga en el espacio de direcciones de cada aplicaci\u00f3n al iniciarse. El malware es un cargador de m\u00faltiples etapas que otorga a sus operadores la capacidad ilimitada de controlar el dispositivo de la v\u00edctima de forma remota\u00bb.<\/p>\n<p>Algunas de las cargas \u00fatiles recuperadas por Keenadu le permiten secuestrar el motor de b\u00fasqueda en el navegador, monetizar nuevas instalaciones de aplicaciones e interactuar sigilosamente con elementos publicitarios. Una de las cargas \u00fatiles se encontr\u00f3 integrada en varias aplicaciones independientes distribuidas a trav\u00e9s de repositorios de terceros, as\u00ed como en mercados de aplicaciones oficiales como Google Play y Xiaomi GetApps.<\/p>\n<p>Los datos de telemetr\u00eda sugieren que 13.715 usuarios en todo el mundo han encontrado Keenadu o sus m\u00f3dulos, y la mayor\u00eda de los usuarios atacados por el malware se encuentran en Rusia, Jap\u00f3n, Alemania, Brasil y los Pa\u00edses Bajos.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/sse-customer-awards-d\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEg5Ij_-TeqFMEsRFzgRRFzSRlVK6oHCncN_eJ2fkOdsA_1tN9HQbAlEEife2Z2JUt1lPv4st5n9KZP84jGEYY9Up6BQ7QE-N5rs6OhzL5thxGzVxnMx3JH9cGRLi9S5Kl-iV5PgjBeTdkBLnv_inF8UUAo88iqdmgJuPIc_6qiPyUMXwFyZWbZvkZkcRXSw\/s728-e100\/gartner-d.jpg\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>Keenadu fue revelado por primera vez por Kaspersky a finales de diciembre de 2025, describi\u00e9ndolo como una puerta trasera en libandroid_runtime.so, una biblioteca compartida cr\u00edtica en el sistema operativo Android que se carga durante el arranque. Una vez que est\u00e1 activo en un dispositivo infectado, se inyecta en el <a href=\"https:\/\/source.android.com\/docs\/core\/runtime\/zygote\" rel=\"noopener\" target=\"_blank\">Cigoto<\/a> proceso, un comportamiento tambi\u00e9n observado en otro malware de Android llamado Triada. <\/p>\n<p>El malware se invoca mediante una llamada de funci\u00f3n agregada a libandroid_runtime.so, despu\u00e9s de lo cual verifica si se est\u00e1 ejecutando dentro de aplicaciones del sistema que pertenecen a los servicios de Google o a operadores de telefon\u00eda celular como Sprint o T-Mobile. Si es as\u00ed, se aborta la ejecuci\u00f3n. Tambi\u00e9n tiene un interruptor de apagado para finalizarse si encuentra archivos con ciertos nombres en los directorios del sistema.<\/p>\n<p>\u00abA continuaci\u00f3n, el troyano comprueba si se est\u00e1 ejecutando dentro del proceso system_server\u00bb, dijo Kalinin. \u00abEste proceso controla todo el sistema y posee privilegios m\u00e1ximos; lo inicia el proceso Zygote cuando se inicia\u00bb.<\/p>\n<p>Si esta verificaci\u00f3n es verdadera, el malware procede a crear una instancia de la clase AKServer. De lo contrario, crea una instancia de la clase AKClient. El componente AKServer contiene la l\u00f3gica central y el mecanismo de comando y control (C2), mientras que AKClient se inyecta en cada aplicaci\u00f3n iniciada en el dispositivo y sirve como puente para interactuar con AKServer.<\/p>\n<p>Esta arquitectura cliente-servidor permite a AKServer ejecutar cargas maliciosas personalizadas adaptadas a la aplicaci\u00f3n espec\u00edfica a la que se dirige. AKServer tambi\u00e9n expone otra interfaz que los m\u00f3dulos maliciosos descargados dentro de los contextos de otras aplicaciones pueden usar para otorgar o revocar permisos hacia\/desde una aplicaci\u00f3n arbitraria en el dispositivo, obtener la ubicaci\u00f3n actual y extraer informaci\u00f3n del dispositivo.<\/p>\n<p>El componente AKServer tambi\u00e9n est\u00e1 dise\u00f1ado para ejecutar una serie de comprobaciones que hacen que el malware finalice si el idioma de la interfaz es chino y el dispositivo est\u00e1 ubicado dentro de una zona horaria china, o si Google Play Store o los servicios de Google Play no est\u00e1n en el dispositivo. Una vez que se cumplen los criterios necesarios, el troyano descifra la direcci\u00f3n C2 y env\u00eda metadatos del dispositivo en formato cifrado al servidor.<\/p>\n<div class=\"separator\" style=\"clear: both;\"><a href=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEi8YVW7HkZXtJt1TbbItT0L7DCLS6CGGWFsfgNZNDjBs-Ocv0N2giEGXgWsoX8bGT9ryNLvUk1KvFJ06LUa8hSfaCLPS8lUpLkqZm-GiKzxupH7Os9KS7hB1fhX-vftEhA8ZXFaaKTpBHJsihx7mPxXXxJcq-xsWAvBgdcpVwFxYE4HrXYU9_pZWxyZIctY\/s1700-e365\/flaw.png\" style=\"clear: left; display: block; float: left;  text-align: center;\"><img decoding=\"async\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEi8YVW7HkZXtJt1TbbItT0L7DCLS6CGGWFsfgNZNDjBs-Ocv0N2giEGXgWsoX8bGT9ryNLvUk1KvFJ06LUa8hSfaCLPS8lUpLkqZm-GiKzxupH7Os9KS7hB1fhX-vftEhA8ZXFaaKTpBHJsihx7mPxXXxJcq-xsWAvBgdcpVwFxYE4HrXYU9_pZWxyZIctY\/s1700-e365\/flaw.png\" alt=\"\" border=\"0\" data-original-height=\"1140\" data-original-width=\"1688\"\/><\/a><\/div>\n<p>En respuesta, el servidor devuelve un objeto JSON cifrado que contiene detalles sobre las cargas \u00fatiles. Sin embargo, en lo que parece ser un intento de complicar el an\u00e1lisis y evadir la detecci\u00f3n, un control adicional integrado en la puerta trasera impide que el servidor C2 entregue cargas \u00fatiles hasta que hayan transcurrido 2,5 meses desde el registro inicial.<\/p>\n<p>\u00abEl servidor del atacante entrega informaci\u00f3n sobre las cargas \u00fatiles como una matriz de objetos\u00bb, explic\u00f3 Kaspersky. \u00abCada objeto contiene un enlace de descarga para la carga \u00fatil, su hash MD5, nombres de paquetes de aplicaciones de destino, nombres de procesos de destino y otros metadatos. En particular, los atacantes eligieron Alibaba Cloud como su proveedor de CDN\u00bb.<\/p>\n<p>Algunos de los m\u00f3dulos maliciosos identificados se enumeran a continuaci\u00f3n:<\/p>\n<ul>\n<li><strong>Cargador Keenadu<\/strong>que apunta a tiendas en l\u00ednea populares como Amazon, Shein y Temu para entregar cargas \u00fatiles no especificadas. Sin embargo, se sospecha que permiten agregar art\u00edculos al carrito de compras de las aplicaciones sin el conocimiento de la v\u00edctima.<\/li>\n<li><strong>Cargador de clic<\/strong>que se inyecta en YouTube, Facebook, Google Digital Wellbeing y el iniciador del sistema Android para entregar cargas \u00fatiles que pueden interactuar con elementos publicitarios en sitios web de juegos, recetas y noticias.<\/li>\n<li><strong>m\u00f3dulo de Google Chrome<\/strong>que apunta al navegador Chrome para secuestrar solicitudes de b\u00fasqueda y redirigirlas a un motor de b\u00fasqueda diferente. Sin embargo, vale la pena se\u00f1alar que el intento de secuestro puede fallar si la v\u00edctima selecciona una opci\u00f3n de las sugerencias de autocompletar seg\u00fan las palabras clave ingresadas en la barra de direcciones.<\/li>\n<li><strong>nuevo clicker<\/strong>que est\u00e1 integrado en el selector de fondos de pantalla del sistema y utiliza aprendizaje autom\u00e1tico y WebRTC para interactuar con elementos publicitarios. El mismo componente fue denominado en c\u00f3digo Phantom por Doctor Web en un an\u00e1lisis publicado el mes pasado.<\/li>\n<li><strong>Instalar monetizaci\u00f3n<\/strong>que est\u00e1 integrado en el iniciador del sistema y monetiza las instalaciones de aplicaciones enga\u00f1ando a las plataformas publicitarias haci\u00e9ndoles creer que una aplicaci\u00f3n se instal\u00f3 desde un anuncio publicitario leg\u00edtimo.<\/li>\n<li><strong>M\u00f3dulo de Google Play<\/strong>que recupera el ID de publicidad de Google Ads y lo almacena bajo la clave \u00abS_GA_ID3\u00bb para que otros m\u00f3dulos lo utilicen probablemente para identificar de forma \u00fanica a una v\u00edctima.<\/li>\n<\/ul>\n<p>Kaspersky dijo que tambi\u00e9n identific\u00f3 otros vectores de distribuci\u00f3n de Keenadu, incluso mediante la incorporaci\u00f3n del cargador Keenadu en varias aplicaciones del sistema, como el servicio de reconocimiento facial y el iniciador del sistema, en el firmware de varios dispositivos. Esta t\u00e1ctica se observ\u00f3 en otro malware de Android conocido como Dwphon, que se integr\u00f3 en las aplicaciones del sistema responsables de las actualizaciones OTA.<\/p>\n<p>Un segundo m\u00e9todo se refiere a un artefacto del cargador Keenadu que est\u00e1 dise\u00f1ado para operar dentro de un sistema donde el proceso system_server ya hab\u00eda sido comprometido por una puerta trasera preinstalada diferente que comparte similitudes con BADBOX. Eso no es todo. Tambi\u00e9n se ha descubierto que Keenadu se propaga a trav\u00e9s de aplicaciones troyanizadas para c\u00e1maras inteligentes en Google Play.<\/p>\n<p>Los nombres de las aplicaciones, que fueron publicadas por un desarrollador llamado Hangzhou Denghong Technology Co., Ltd., son los siguientes:<\/p>\n<ul>\n<li>Eoolii (com.taismart.global): m\u00e1s de 100.000 descargas<\/li>\n<li>Ziicam (com.ziicam.aws) \u2013 100,00+ descargas<\/li>\n<li>Eyeplus-Tu hogar en tus ojos (com.closeli.eyeplus) \u2013 M\u00e1s de 100.000 descargas<\/li>\n<\/ul>\n<p>Si bien estas aplicaciones ya no est\u00e1n disponibles para descargar desde Google Play, el desarrollador ha <a href=\"https:\/\/apps.apple.com\/us\/developer\/hangzhou-denghong-technology-co-ltd\/id1108778942\" rel=\"noopener\" target=\"_blank\">publicado<\/a> el mismo conjunto de aplicaciones a la App Store de Apple tambi\u00e9n. Cuando se le contact\u00f3 para hacer comentarios, Kaspersky dijo a The Hacker News que las versiones de iOS de las aplicaciones no incluyen la funcionalidad maliciosa. Esto da cr\u00e9dito a la opini\u00f3n predominante de que Keenadu est\u00e1 dise\u00f1ado principalmente para tabletas Android.<\/p>\n<p>Dado que BADBOX act\u00faa como vector de distribuci\u00f3n para Keenadu en algunos casos, un an\u00e1lisis m\u00e1s detallado tambi\u00e9n ha descubierto conexiones de infraestructura entre Triada y BADBOX, lo que indica que estas botnets est\u00e1n interactuando entre s\u00ed. En marzo de 2025, HUMAN dijo que identific\u00f3 superposiciones entre BADBOX y Vo1d, un malware de Android dirigido a cajas de TV de otras marcas basadas en Android.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/ztw-hands-on-d\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEhC66R4wPZ8qksTJukqlCCmrHCUX65DnpWW1nKnkOhy0Poe219tacbU6h09qEfUgRHxoObBazf3SVJ4OAd_iVd0EFecj-vskZSfroQ7rh0XyxQd6Ep_zNgqDW95YU4zG1Gpin8rHPK8Rqu_1KV7tf-G-7JJhxOVHhRJDWnj0qfq82uZSAvAG2rxK-Fe5fwd\/s728-e100\/ThreatLocker-d.png\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>El descubrimiento de Keenadu es preocupante por dos razones principales:<\/p>\n<ul>\n<li>Dado que el malware est\u00e1 integrado en libandroid_runtime.so, opera dentro del contexto de cada aplicaci\u00f3n del dispositivo. Esto le permite obtener acceso encubierto a todos los datos y hacer que el sandboxing de aplicaciones de Android sea ineficaz.<\/li>\n<li>La capacidad del malware para eludir los permisos utilizados para controlar los privilegios de las aplicaciones dentro del sistema operativo lo convierte en una puerta trasera que otorga a los atacantes acceso y control ilimitados sobre el dispositivo comprometido.<\/li>\n<\/ul>\n<p>\u00abLos desarrolladores de puertas traseras preinstaladas en el firmware de los dispositivos Android siempre se han destacado por su alto nivel de experiencia\u00bb, concluy\u00f3 Kaspersky. \u00abEsto sigue siendo cierto para Keenadu: los creadores del malware tienen un profundo conocimiento de la arquitectura de Android, el proceso de inicio de la aplicaci\u00f3n y los principios b\u00e1sicos de seguridad del sistema operativo\u00bb.<\/p>\n<p>\u00abKeenadu es una plataforma de malware compleja y de gran escala que proporciona a los atacantes un control ilimitado sobre el dispositivo de la v\u00edctima. Aunque actualmente hemos demostrado que la puerta trasera se utiliza principalmente para varios tipos de fraude publicitario, no descartamos que en el futuro el malware pueda seguir los pasos de Triada y comenzar a robar credenciales\u00bb.<\/p>\n<h3>Actualizar<\/h3>\n<p>Tras la publicaci\u00f3n de la historia, Google confirm\u00f3 a The Hacker News que las tres aplicaciones maliciosas identificadas han sido eliminadas de Google Play, instando a los usuarios a asegurarse de que sus dispositivos tengan la certificaci\u00f3n Play Protect. La declaraci\u00f3n completa del portavoz de Google se reproduce textualmente a continuaci\u00f3n:<\/p>\n<p><em>Los usuarios de Android est\u00e1n protegidos autom\u00e1ticamente contra versiones conocidas de este malware mediante <a href=\"https:\/\/support.google.com\/googleplay\/answer\/2812853?hl=en\" rel=\"noopener\" target=\"_blank\">Proteger Google Play<\/a>que est\u00e1 activado de forma predeterminada en dispositivos Android con Servicios de Google Play. Google Play Protect puede advertir a los usuarios y deshabilitar aplicaciones que se sabe que exhiben un comportamiento asociado a Keenadu, incluso cuando esas aplicaciones provienen de fuentes externas a Play. Como mejor pr\u00e1ctica de seguridad, recomendamos a los usuarios asegurarse de que su dispositivo est\u00e9 <a href=\"https:\/\/support.google.com\/googleplay\/answer\/7165974\" rel=\"noopener\" target=\"_blank\">Certificado Play Protect<\/a>.<\/em><\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>Seg\u00fan nuevos hallazgos de Kaspersky, una nueva puerta trasera de Android que est\u00e1 integrada profundamente en el firmware del dispositivo puede recopilar datos de forma silenciosa y controlar de forma remota su comportamiento. El proveedor ruso de ciberseguridad dijo que descubri\u00f3 la puerta trasera, denominada Keenaduen el firmware de dispositivos asociados con varias marcas, incluido [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":55,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25],"tags":[77,75,24,70,79,71,73,72,78,32,74,33,76],"class_list":["post-61","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","tag-actualizaciones","tag-android","tag-cyberdefensa-mx","tag-del","tag-firmadas","tag-firmware","tag-infecta","tag-keenadu","tag-ota","tag-puerta","tag-tabletas","tag-trasera","tag-traves"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/61","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=61"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/61\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/55"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=61"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=61"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=61"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}