Android tiene un problema con el malware. Y no es la libertad de poder instalar apps desde fuera de Play Store, es la facilidad que tienen estas de controlar el sistema al completo. Tenemos ejemplos en casos tan sonados como el de Flubot, el malware tras los falsos SMS de FeDex.

El permiso de accesibilidad es el responsable de esto, un permiso que permite a las apps controlar un Android al completo. Mishaal Rahman, desarrollador, ha descubierto que Google prepara, por fin, grandes cambios en Android 13 para acabar con esta problemática.

Android 13 se pondrá las pilas con el malware

La API de accesibilidad de Android es una herramienta pensada, en un principio, para permitir a los desarrolladores crear apps para personas con discapacidad. La realidad es que se acaba explotando como herramienta para controlar el sistema, ya que este permiso hace posible que las apps controlen el teléfono al completo (ver lo que se escribe en la pantalla, gestionar las pulsaciones en la misma, enviar SMS, etc.).

“Hay muchos tipos diferentes de malware para Android. Pero, si nos centramos en los que están diseñados para robar sus datos personales, como sus credenciales bancarias, carteras criptográficas, inicios de sesión en redes sociales, etc., encontramos que la mayoría de ellos requieren el uso de algún tipo de permisos de accesibilidad.” Sergio Castell, analista de seguridad móvil en Riscure.

El servicio de accesibilidad, como describe el desarrollador, funciona en segundo plano y obtiene información privilegiada sobre el sistema. Para que un permiso tan potente pueda funcionar, es necesario que el usuario lo permita desde el banner del propio permiso. Apps maliciosas, como las de FeDex, engañan a los usuarios haciéndose pasar por apps legítimas, para ganarse la confianza de los más inexpertos y lograr así que se active el permiso.

Indagando en el código de Android 13, se ha descubierto que el sistema pueda impedir que el usuario active el permiso de accesibilidad si una app descargada fuera de Play Store lo impide. Si el sistema detecta que un APK procede de fuera, se bloqueará la opción de darle el permiso.

Estas limitaciones vienen de la mano de un nuevo permiso ACCESS RESTRICTED SETTINGS. ¿El inconveniente? Por un lado, el usuario podrá forzar la activación del permiso de accesibilidad desde la opción “permitir ajustes restringidos”. Siempre bajo su responsabilidad y a sabiendas de que el propio sistema ha bloqueado los permisos de la app que ha instalado desde fuera de Play Store.

Por otro lado, la fragmentación sigue siendo altísima en Android y, de aquí a que buena parte de los teléfonos estén actualizados a Android 13, pueden pasar unos cuantos años (más de la mitad de dispositivos a día de hoy siguen en Android 10 y Android 11).