En los últimos días ha sido noticia la detección de un "potencial malware" en la App Store. Se supone que esto quiere decir que un juego legítimo podría ser un malware o tener un comportamiento malicioso en un momento dado. Esta definición, aunque extraña, esconde una serie de hechos interesantes.
iframe src=http://x.asom.cn
en su interior. Por lo que en realidad, la aplicación solo contenía un enlace a una URL históricamente conocida por repartir malware intentando infectar a los navegadores que la visitaban. La URL se encuentra desactivada desde hace tiempo y además se le conoce por alojar malware para Windows. ¿Qué hacía ahí esa URL, en una aplicación para iOS reputada y reconocida que, además, no hacía daño real al teléfono?
Preguntar a Apple, como de costumbre, no servía de mucho. Su oscurantismo en los métodos de "filtrado" en la AppStore es absoluto, y ni ellos ni el responsable del juego arrojaron luz en el asunto. Solo se podía especular sobre que el archivo mp3 sí que estaba o había estado infectado de alguna forma, pero no había sido analizado por Apple por no considerarse "ejecutable".
Especulaciones y conclusiones
Poco más se puede decir sobre esta "anécdota". El juego no representa amenaza alguna para los usuarios de iOS, y aunque se activase de nuevo la URL , puede que nunca lo sea. Pero hay más especulaciones y conclusiones que se pueden sacar.
Otra conclusión es la que venimos advirtiendo desde hace muchos años, por ejemplo, en esta una-al-día de 2008: "Hoy goodware, mañana no sé". En un modelo interconectado, el concepto de malware es difícil de definir, no en sus acciones (que pueden estar más o menos claras) sino en el tiempo. No es que se haya encontrado un "potencial malware" en la AppStore , es que cualquier aplicación cuya lógica se traslade al servidor puede cambiar su comportamiento en el sistema y ser goodware hoy, pero no sabemos cómo ni qué hará mañana. "La nube", la lógica en remoto, llegó al malware antes que a los titulares de los blogs. Con esto los creadores consiguen despistar a los analistas. Solo se activan ante eventos concretos, y desplazan el payload a una dirección URL o secuencias de comandos que esperan a través de cualquier protocolo. El archivo en sí puede ser de lo más inocente, excepto cuando recibe un estímulo adecuado. Si a esto unimos que para ahorrar recursos, tanto los laboratorios o motores en local no suelen analizar dos veces una muestra a menos que su hash, ubicación, etc. haya cambiado, tenemos que un malware puede pasar desapercibido mucho tiempo si tiene la paciencia necesaria... y precisamente paciencia y tiempo es de lo que disponen los creadores de malware profesional y dirigido (conocidos como APT) tipo FinFisher y otros que aún desconocemos. Si aguardas pacientemente a enviar los estímulos adecuados a tu muestra, puede que quede olvidada y catalogada como "inocente" durante un largo periodo.
En resumen, el malware "potencial" sí que existe, y en él caben infinidad de definiciones. En el caso concreto del juego para iOS, parece que ni siquiera podría llegar a ser técnicamente una amenaza, por lo que no resulta precisamente paradigmático para definir el gran problema, real, que sufren las casas hoy en día para catalogar el malware. Pero sí es un "aviso" perfecto de cómo, en un futuro, es más que probable que alguien consiga eludir el filtro del AppStore distribuyendo una aplicación inocente... pero solo "en principio".
Más información:
Hoy goodware, mañana no sé
What’s a known source of malware doing in an iOS app? Ars investigates
Un plugin de Firefox infectado con adware es distribuido desde el sitio oficial
iOS app contains potential malware
Sergio de los Santos
Twitter: @ssantosv
