A principios de septiembre, investigadores de ESET Research acaban de descubrir una operación de ciberespionaje china. Unos piratas informáticos del grupo GREF, vinculado a China, han publicado aplicaciones en línea en Google Play Store y en Samsung Galaxy Store, haciéndose pasar por versiones de los servicios de mensajería Signal y Telegram, pero que en realidad ocultan programas espía: «Signal Plus Messenger» y «Flygram», según revela la revista económica estadounidense Forbes. Aunque Google ya las ha eliminado, Samsung parece tener mucha menos prisa.

«Nos alegra que la Play Store haya eliminado de su plataforma este malware malicioso que se hacía pasar por Signal. Nos preocupa profundamente la situación de todas aquellas personas que hayan descargado esta aplicación. Instamos a Samsung a que actúe con rapidez para eliminar este malware», declaró Meredith Whittaker, presidenta de la Signal Foundation, que desarrolla la aplicación de mensajería cifrada.

En su versión normal, Signal permite al usuario conectar la aplicación de mensajería a su ordenador o tableta para poder utilizarla desde estos dispositivos. «Signal Plus Messenger» utiliza esta funcionalidad para vincular la aplicación Signal de la víctima con la cuenta de Signal del atacante, lo que permite a este último leer todos los mensajes enviados y recibidos por la víctima a través de Signal», explica Lukáš Stefanko, investigador de ESET y experto en malware.

Todo ello ocurre «sin que el usuario se dé cuenta de nada ni reciba ninguna notificación; todo sucede en silencio», advierte el investigador. Se trataría del primer caso documentado de espionaje en Signal a través de una «conexión automática» secreta. Esto también supone un esfuerzo sin precedentes por parte de un grupo de piratas informáticos chinos para hackear Signal. «Signal Plus Messenger» se descargó casi 500 veces solo en Google Play, lo que parece indicar que se dirigía a personas concretas.

El código utilizado en esta operación de ciberespionaje ya había aparecido en otra aplicación maliciosa: «Flygram», que era una versión de Telegram y también estaba disponible en las tiendas de Google y Samsung. Según Lukas Stefanek, el enlace para descargar esta aplicación se distribuyó principalmente en el grupo de Telegram frecuentado por los uigures, lamentablemente con bastante éxito.

«Flygram podía acceder a las copias de seguridad de Telegram si el usuario activaba una determinada función del malware. Al menos 13 953 cuentas de usuario la activaron», lamenta el investigador. Si bien los usuarios deben ser prudentes, los gigantes digitales como Samsung también deben asumir su responsabilidad para eliminar este software malicioso de sus plataformas.