Una vulnerabilidad de seguridad en una operación furtiva de spyware para Android llamada Catwatchful ha expuesto a miles de sus clientes, incluyendo a su administrador.
El error, descubierto por el investigador de seguridad Eric Daigle, derramó la base de datos completa de la aplicación espía, revelando direcciones de correo electrónico y contraseñas en texto plano que los clientes de Catwatchful utilizan para acceder a los datos robados de los teléfonos de sus víctimas.
¿Qué es Catwatchful y cómo opera?
Catwatchful es un spyware que se disfraza como una aplicación de monitoreo infantil y afirma ser «invisible y no puede ser detectado», mientras sube el contenido privado del teléfono de la víctima a un panel de control visible para quien instaló la aplicación. Los datos robados incluyen:
- Fotos de las víctimas
- Mensajes
- Datos de ubicación en tiempo real
- Audio ambiental en vivo desde el micrófono del teléfono
- Acceso a cámaras frontal y trasera del dispositivo
Las aplicaciones de spyware como Catwatchful están prohibidas en las tiendas de aplicaciones y dependen de ser descargadas e instaladas por alguien con acceso físico al teléfono de una persona. Por esta razón, estas aplicaciones son comúnmente referidas como «stalkerware» (o spouseware) por su propensión a facilitar la vigilancia no consensual de cónyuges y parejas románticas, lo cual es ilegal.
Alcance masivo de la brecha de seguridad
Según una copia de la base de datos de principios de junio, Catwatchful tenía direcciones de correo electrónico y contraseñas de más de 62,000 clientes y datos telefónicos de 26,000 dispositivos de víctimas.
Distribución geográfica de las víctimas
La mayoría de los dispositivos comprometidos se ubicaron en:
- México
- Colombia
- India
- Perú
- Argentina
- Ecuador
- Bolivia
Algunos de los registros datan de 2018, según muestran los datos.
Identidad del administrador expuesta
La base de datos de Catwatchful también reveló la identidad del administrador de la operación de spyware: Omar Soca Charcov, un desarrollador con sede en Uruguay. Un error de seguridad operacional en el conjunto de datos expuso a Charcov como el administrador de la operación.
Una revisión de la base de datos de Catwatchful lista a Charcov como el primer registro en uno de los archivos del conjunto de datos. El conjunto de datos incluía el nombre completo de Charcov, número de teléfono y la dirección web de la instancia específica de Firebase donde se almacena la base de datos de Catwatchful en los servidores de Google.
Hosting en servidores de Google
Según Daigle, Catwatchful utiliza una API personalizada en la que cada una de las aplicaciones Android instaladas se basa para comunicarse y enviar datos a los servidores de Catwatchful. El spyware también utiliza Firebase de Google, una plataforma de desarrollo web y móvil, para alojar y almacenar los datos robados del teléfono de la víctima, incluyendo sus fotos y grabaciones de audio ambiental.
La API no estaba autenticada, permitiendo a cualquier persona en internet interactuar con la base de datos de usuarios de Catwatchful sin necesidad de iniciar sesión, lo que expuso toda la base de datos de direcciones de correo electrónico y contraseñas de clientes de Catwatchful.
Respuesta de Google
Después de que se proporcionara a Google copias del malware Catwatchful, Google dijo que añadió nuevas protecciones para Google Play Protect, una herramienta de seguridad que escanea teléfonos Android en busca de aplicaciones maliciosas como spyware. Ahora, Google Play Protect alertará a los usuarios cuando detecte el spyware Catwatchful o su instalador en el teléfono de un usuario.
Cómo detectar y eliminar Catwatchful
Aunque Catwatchful afirma que «no puede ser desinstalado», existen formas de detectar y eliminar la aplicación de un dispositivo afectado.
Detección del spyware
Los usuarios de Android pueden detectar Catwatchful, incluso si está oculto, marcando *543210 en el teclado de la aplicación de teléfono de Android y luego presionando el botón de llamada. Si Catwatchful está instalado, la aplicación debería aparecer en la pantalla.
Este código es una característica de puerta trasera incorporada que permite a quien instaló la aplicación recuperar el acceso a la configuración una vez que la aplicación está oculta.
Proceso de eliminación
Para eliminar la aplicación, se recomienda seguir guías generales para eliminar spyware de Android que pueden ayudar a identificar y eliminar tipos comunes de stalkerware telefónico, y luego habilitar las diversas configuraciones necesarias para asegurar el dispositivo Android.
Problema creciente de stalkerware
Catwatchful es el último ejemplo en una lista creciente de operaciones de stalkerware que han sido hackeadas, vulneradas o de alguna manera expuestas los datos que obtienen, y es al menos la quinta operación de spyware este año en experimentar un derrame de datos. El spyware de grado de consumidor continúa proliferando, a pesar de ser propenso a codificación deficiente y fallas de seguridad que exponen tanto a clientes pagadores como a víctimas desprevenidas a violaciones de datos.
