Este documento discute las amenazas y vulnerabilidades de seguridad en aplicaciones móviles. Más de 2 mil millones de personas usan teléfonos móviles y se descargan 197 mil millones de aplicaciones cada año, por lo que es crucial proteger las aplicaciones de malware, vulnerabilidades y otras amenazas como la filtración de datos. El análisis de más de 10 millones de aplicaciones encontró más de 80 millones de vulnerabilidades graves y 1 millón de aplicaciones inseguras en categorías que manejan información sensible. Se destacan varios tipos

1. ¿Seguro que son Seguras?
Visión de amenazas y vulnerabilidades móviles

2. El móvil lo ha cambiado todo…
2,1 millardos de
móviles actualmente
197 millardos de Apps
descargadas en 2017
> 50% comercio retail
fuente: statista.com

3. El móvil lo ha cambiado todo…
Mas de 5 Millones
Apps en markets
9K
Apps publicadas
diariamente
Versiones vulnerables
Trojans
Adware
Ransomware

4. … y es necesario proteger las Apps …

5. … antes de que el ‘bug’ sea encontrado por …

6. Visión 360
Los investigadores y Red Teams deben contar con las herramientas de análisis que permitan detectar
diferentes formas de amenazas basadas en Apps como
Aplicaciones vulnerables
Malware
App Tampering
Spyware Adware agresivo
Suplantación de marca
Exfiltración de información
Phishing
…

7. Ejemplo: Encontrar aplicaciones inseguras

8. Algunos datos…
10MM
80MM
1MMCredenciales, parámetros codificados, Webview…
1 millón vulnerabilidades de severidad alta
Se han detectado 80 millones de vulnerabilidades
El análisis se ha realizado sobre unos 10MM de Apps

9. … demasiadas Apps vulnerables…

10. … en categorías con información sensible…

11. … de diversos tipos

12. Vulnerabilidades destacadas
Almacenamiento de Datos y Privacidad
 Parámetros sensibles incluidos en URLs.
 Exposición de ficheros criptográficos.
 Exposición de tokens privados o IDs.
Comunicación de Red
 Comunicación no cifrada y HTTP.
 Problemas en la validación del certificado SSL
 Conexiones inseguras por certificados no confiables, TLS obsoleto, …
Criptografía
 Certificado autofirmado
 Algoritmo de Firma de Certificado Inseguro
 Esquema de firma de aplicación vulnerable
Configuración de ensamblado
 Modo 'Debug' habilitado
 Uso innecesario del permiso 'Access Mock Location'
Calidad del código
 Vulnerabilidades XSS debidos a WebView
 Carga dinámica de código
 Funciones de números aleatorios inseguras
 Borrado inseguro de fichero
Reputación
 Email del desarrollador comprometido.
 Direcciones de e-mails en el código.
 Carga dinámica de código
Uso de Plataforma Inapropiado
 Modo 'Backup' habilitado
 Componentes exportados en la aplicación
 Servicio con 'intent' implícito

13. Ejemplo: Encontrar aplicaciones sospechosas

14. Ejemplo: Análisis de Ad networks

15. Monetizado de Apps
Criptominería Publicidad Otros
Venta de datos
Robos
…

16. Monetizado de Apps
Legítimo Ilegal / a-legal
Aplicaciones Propias
Aplicaciones
reempaquetadas
Reempaquetado Implica: Inyección de publicidad del atacante
Características comunes:
- Muy abusiva
- Bien remunerada

17. Algunos datos
Sobre 10MM de aplicaciones
Mas de 4.1MM contenía publicidad
¿Cómo? ¿Cuanta? ¿De qué tipo?

18. AdNetworks – El estudio

19. Detección de Ad Networks
Activities
Código (nombres de métodos y clases)
Permisos (double check)

20. Distribución de la publicidad
Sospechoso…