Los investigadores de McAfee han descubierto una sofisticada campaña de rootkit de Android que se esconde dentro de 50 aplicaciones de Google Play, explota vulnerabilidades del kernel parcheadas pero desinstaladas y malware tan persistente que un restablecimiento de fábrica no puede eliminarlo.
Las aplicaciones parecían completamente normales. Un limpiador de teléfonos. Un juego de rompecabezas. Una utilidad fotográfica. Cada uno cumplió exactamente lo que prometió, y así es como Operation NoVoice pasó por alto los sistemas de revisión automatizados de Google Play el tiempo suficiente para acumular 2,3 millones de descargas en más de 50 aplicaciones. El equipo de investigación móvil de McAfee publicó sus hallazgos el 31 de marzo de 2026, y los detalles técnicos que surgen de ese informe son un estudio de caso sobre cómo los actores de amenazas sofisticados explotan la brecha entre el momento en que se parchea una vulnerabilidad y el momento en que los usuarios realmente instalan ese parche.
El método de entrega de NoVoice fue diseñado con lagunas en todos los niveles. La carga maliciosa estaba oculta en su interior. com.facebook.utils paquete, mezclado directamente en clases válidas del SDK de Facebook para que el análisis de código estático no indique nada inusual. Se ocultó un archivo de carga útil cifrado dentro de una imagen PNG mediante esteganografía, la técnica de ocultar datos dentro de un archivo de imagen, luego se extrajo y se cargó completamente en la memoria del sistema mientras se eliminaban todos los archivos intermedios para eliminar rastros forenses. Antes de ejecutar cualquier cosa, el malware realizó 15 pruebas separadas para emuladores, depuradores y VPN, y verificó las ubicaciones de los dispositivos para evitar por completo infectar dispositivos en Beijing y Shenzhen. La exclusión geográfica es una característica conocida de los actores de amenazas alineados o patrocinados por el Estado que operan desde China y que necesitan evitar la atención de las autoridades nacionales.
Una vez instalado, el malware se comunica con un servidor de comando y control, envía datos detallados de huellas dactilares de hardware y software, incluida la versión de Android y el nivel de parche, y comienza a sondear paquetes de exploits específicos del dispositivo cada 60 segundos. El equipo de McAfee enumeró 22 exploits individuales implementados a lo largo de la campaña, incluidos errores del kernel posteriores a la explotación y fallas del controlador de GPU de Mali, y las vulnerabilidades recibieron parches oficiales entre 2016 y 2021. Solo existe un parche para los dispositivos que lo tienen instalado. Según las propias estadísticas de Google publicadas en febrero de 2026, más del 40% de todos los dispositivos Android son vulnerables a amenazas de malware emergentes, una cifra que refleja el ecosistema de actualizaciones fragmentado que ha afectado Android desde sus inicios.
Después de rootear el dispositivo, el malware desactiva la aplicación de SELinux, la capa de seguridad de aislamiento de procesos básicos de Android, e instala un rootkit persistente en una partición de almacenamiento del dispositivo que sobrevive a un restablecimiento de fábrica. Este no es un detalle técnico menor. Esto significa que los usuarios que descubren que han sido infectados y lo que creían que se ha visto comprometido deben borrar completamente su dispositivo. Un demonio de vigilancia que se ejecuta cada 60 segundos monitorea la integridad del rootkit y reinstala automáticamente los componentes faltantes, lo que obliga a reiniciar el dispositivo si las comprobaciones no logran garantizar que el rootkit se vuelva a cargar al reiniciar. El malware también inyectó código en WhatsApp, lo que permitió el secuestro de sesiones y la interceptación de mensajes en dispositivos infectados donde estaba instalado WhatsApp.
La respuesta de Google y lo que realmente significa
Google confirmó que las aplicaciones habían sido eliminadas de Google Play y dijo, como informó Forbes en su cobertura del 3 de abril, que «los usuarios ya están protegidos». Ese marco es correcto para descargas futuras y dispositivos que ejecutan parches de seguridad actuales. Eso sin mencionar los 2,3 millones de dispositivos que ya han descargado aplicaciones infectadas, una proporción desconocida de los cuales ejecutan versiones de Android sin parches donde el rootkit aún está activo, a prueba de restablecimiento de fábrica y sondeando un servidor C2 cada 60 segundos. El propio lenguaje de McAfee advierte: “2,3 millones de descargas” no es sinónimo de 2,3 millones de dispositivos comprometidos, ya que la escalada de privilegios del rootkit depende de encontrar una vulnerabilidad explotable en el dispositivo objetivo. Se desconoce cuántos dispositivos fueron rooteados exitosamente.
La omnipresente cuestión de seguridad de Google Play es difícil de descartar. NoVoice no es la primera campaña sofisticada que pasa por la revisión automática de Play, y no será la última. En noviembre de 2025, Zscaler documentó 42 millones de descargas de cientos de tiendas de aplicaciones maliciosas entre junio de 2024 y mayo de 2025, un aumento interanual del 67% en malware móvil durante ese período. El patrón es consistente: los actores de amenazas envían aplicaciones que funcionan, les permiten acumular descargas y críticas positivas, luego envían actualizaciones maliciosas u ocultan cargas útiles dentro de paquetes SDK legítimos. Google Play Protect proporciona escaneo en tiempo real pero, como muestra la campaña de NoVoice, el SDK no es suficiente para detectar la entrega de carga útil a través de archivos de imágenes esteganográficas combinados con camuflaje.
¿Qué deben hacer los usuarios afectados?
La incómoda realidad para los usuarios que han descargado cualquiera de las 50 aplicaciones afectadas es que sus opciones son limitadas. Para los dispositivos que ejecutan Android con parches de seguridad posteriores a 2021, los exploits de raíz implementados por NoVoice no deberían tener éxito y la cadena de infección del malware se detendrá antes de lograr la persistencia. Para los usuarios de dispositivos más antiguos y sin parches, un grupo demográfico que se inclina en gran medida hacia los mercados de bajos ingresos donde el hardware más antiguo se conserva por más tiempo, los rootkits pueden habitar una partición que sobrevive a un restablecimiento de fábrica estándar, lo que significa que la inspección profesional del dispositivo o la limpieza del almacenamiento a nivel de hardware es el único remedio confiable. McAfee ha publicado el Índice de compromiso. El primer paso de diagnóstico es comparar el historial de aplicaciones instaladas con la lista de nombres de paquetes afectados. Usar un dispositivo que tiene una de las aplicaciones identificadas comprometida es efectivamente una posición conservadora hasta que se demuestre lo contrario.
Lea también: Infosys advierte sobre una desaceleración del crecimiento a medida que los clientes empresariales frenan el gasto en IA • Experimentos estéticos de terror viral revelan un nuevo salto comercial para la fidelidad visual de la IA generativa • Peter Thiel lanza un sistema de justicia personal impulsado por hardware de IA autónomo
