Keenadu

Keenadu es una sofisticada puerta trasera para Android descubierta por Kaspersky en 2026, destacando por su capacidad de infiltrarse en múltiples niveles del ecosistema móvil. Su método más peligroso es la integración directa en el firmware de dispositivos de marcas como Alldocube, lo que significa que puede venir preinstalado de fábrica o a través de actualizaciones OTA comprometidas. Al estar incrustado en una biblioteca central del sistema (libandroid_runtime.so), el malware se inyecta en cada aplicación que se ejecuta en el dispositivo, anulando el sistema de permisos y el sandboxing de Android para obtener control total.

Una vez activo, Keenadu opera con una arquitectura cliente-servidor que permite a los atacantes ejecutar módulos maliciosos personalizados. Aunque actualmente se utiliza principalmente para fraude publicitario (como clics invisibles y secuestro de búsquedas en Chrome), sus capacidades van mucho más allá: puede robar todo tipo de datos, instalar aplicaciones arbitrarias sin consentimiento y otorgarse cualquier permiso. El malware incluye un mecanismo de "apagado" que lo desactiva si detecta configuraciones de idioma o zona horaria de China, lo que sugiere un posible origen o enfoque geográfico específico.

La amenaza se distribuye también mediante aplicaciones del sistema comprometidas (como reconocimiento facial) y aplicaciones maliciosas en Google Play que acumularon cientos de miles de descargas antes de ser eliminadas. Debido a su profunda integración en el firmware, Keenadu no puede eliminarse con herramientas estándar; la única solución efectiva es instalar un firmware limpio o, en casos extremos, reemplazar el dispositivo por completo, lo que lo convierte en una de las amenazas más persistentes y difíciles de erradicar para Android en los últimos años.

Funcionamiento

Análisis Técnico Profundo de Keenadu

Keenadu no es un malware convencional; es una plataforma de puerta trasera altamente sofisticada que opera a nivel de sistema, diseñada para evadir la detección y mantener un control persistente sobre el dispositivo. Su funcionamiento se puede desglosar en varias fases clave:

1. Vector de Infección y Persistencia: La Base Sistémica

El aspecto más crítico de Keenadu es su capacidad para incrustarse en el núcleo del sistema operativo durante la fase de compilación del firmware, en lo que se conoce como un ataque a la cadena de suministro .

Compromiso en Cadena de Suministro: Los atacantes logran insertar una biblioteca estática maliciosa (identificada como libVndxUtils.a con MD5: ca98ae7ab25ce144927a46b7fee6bd21) durante el proceso de construcción del firmware de los dispositivos . Esta biblioteca se enlaza con una biblioteca legítima y fundamental del sistema Android: libandroid_runtime.so .
Firmware Firmado: Las imágenes de firmware comprometido que contienen Keenadu han sido encontradas con firmas digitales válidas, lo que indica que el compromiso ocurrió antes de la firma final o que las claves de firma fueron de alguna manera accesibles para los atacantes . Esto permite que el malware se distribuya incluso a través de actualizaciones OTA (Over-The-Air) oficiales pero comprometidas, como en el caso documentado de la tableta Alldocube iPlay 50 mini Pro .
Inyección en Zygote: Al ser parte de libandroid_runtime.so, una biblioteca que se carga durante el arranque del sistema, Keenadu se inyecta en el proceso Zygote . Zygote es el proceso "madre" del que nacen (se bifurcan) todas las aplicaciones y servicios del sistema en Android. Al comprometer Zygote, Keenadu garantiza que una copia de su código malicioso se herede y se ejecute dentro del espacio de direcciones de cada aplicación que se lance en el dispositivo .

2. Arquitectura Interna: Cliente-Servidor (AKClient/AKServer)

Una vez activo, Keenadu establece una arquitectura de comunicación interna que le permite controlar todas las aplicaciones de manera coordinada .

Detección de Contexto: El código malicioso dentro de libandroid_runtime.so primero verifica en qué proceso se está ejecutando .
- Si detecta que se encuentra en el proceso de system_server (el proceso con mayores privilegios que gestiona los servicios principales del sistema), crea una instancia de la clase AKServer . AKServer es el núcleo de mando del malware.
- Si se ejecuta en el contexto de cualquier otra aplicación de usuario o del sistema (que no sea system_server), crea una instancia de la clase AKClient .
Comunicación Interna (Binder): Los procesos AKClient (uno por cada app) actúan como sondas o agentes. Se comunican con el proceso central AKServer a través del mecanismo de comunicación entre procesos (IPC) de Android, Binder . Esto permite que AKServer ordene a cualquier AKClient realizar acciones específicas dentro de la aplicación que ha infectado .

3. Ofuscación y Mecanismos de Defensa

Keenadu incorpora múltiples capas de protección para evitar su análisis y activación en entornos no deseados .

Kill Switch Geográfico: El malware verifica la configuración de idioma y zona horaria del dispositivo. Si el idioma de la interfaz es un dialecto chino y la zona horaria corresponde a China, el malware se autodestruye o permanece inactivo . Esta es una táctica de operación común para evitar víctimas en la región de origen de los atacantes.
Detección de Servicios de Google: Keenadu también verifica la presencia de Google Play Store y Google Play Services. Si no los encuentra, no se activa, probablemente para evitar ejecutarse en emuladores o entornos de pruebas de investigadores que podrían no tenerlos instalados .
Lista de Exclusión: Evita ejecutar su carga maliciosa si el proceso actual pertenece a aplicaciones del sistema de Google o de operadoras de telefonía específicas (como Sprint o T-Mobile), posiblemente para eludir mecanismos de seguridad adicionales que estas pudieran tener .
Retardo en Comando y Control (C2): Incluso después de cumplir las condiciones, el servidor C2 de los atacantes está programado para no enviar cargas útiles (payloads) hasta que hayan transcurrido aproximadamente 2.5 meses desde el primer contacto del dispositivo . Esto complica enormemente el análisis dinámico de la amenaza en entornos controlados.

4. Comunicación con el Exterior y Carga de Módulos

Servidores C2: Tras superar los controles iniciales, el malware descifra (usando RC4 o AES-128 con claves derivadas de MD5) la dirección de su servidor de comando y control para enviar metadatos del dispositivo encriptados .
Descarga de Payloads: El servidor C2 responde con un objeto JSON encriptado que contiene una lista de módulos maliciosos a descargar. Cada entrada incluye la URL de descarga (los atacantes han utilizado proveedores como Alibaba Cloud y Amazon AWS como CDN), su hash MD5 para verificar integridad, y metadatos sobre en qué aplicaciones específicas debe inyectarse el módulo (por nombre de paquete y proceso) .
Ejecución: Los módulos descargados son cargados y ejecutados dinámicamente dentro del proceso de la aplicación objetivo utilizando DexClassLoader .

5. Módulos Maliciosos y sus Capacidades

El verdadero poder de Keenadu reside en los módulos que puede desplegar, adaptándose a los objetivos del atacante. Aunque actualmente se usa para fraude publicitario, la arquitectura permite cualquier tipo de actividad maliciosa .

Módulo / Objetivo	Método de Inyección	Función Maliciosa Principal	Impacto
Google Chrome	Inyectado en el proceso del navegador .	Monitorea las consultas en la barra de direcciones (incluso en modo incógnito) y las redirige a motores de búsqueda controlados por atacantes para generar ingresos por publicidad .	Robo de datos de navegación, fraude publicitario.
Clicker Loader	Inyectado en YouTube, Facebook, y el lanzador del sistema .	Carga submódulos que interactúan de forma invisible con elementos publicitarios en sitios web abiertos en segundo plano, simulando clics legítimos .	Fraude publicitario (coste por clic).
Nova / Phantom Clicker	Incrustado en el selector de fondos de pantalla del sistema .	Utiliza técnicas avanzadas, incluyendo Machine Learning y WebRTC, para simular interacciones humanas creíbles con anuncios y evadir la detección .	Fraude publicitario altamente sofisticado.
Installer Monetization	Incrustado en el lanzador del sistema .	Engaña a las plataformas publicitarias haciéndoles creer que una aplicación fue instalada como resultado de un clic legítimo en un anuncio, cuando en realidad fue instalada silenciosamente por el malware .	Fraude de atribución de instalaciones.
E-commerce Loader	Inyectado en Amazon, Shein, Temu .	Sospecha de añadir productos a carritos de compra sin el conocimiento o consentimiento del usuario, posiblemente para generar comisiones de afiliados o realizar otras acciones automatizadas .	Potencial fraude de afiliados, usurpación de identidad.
Control Remoto Total (Potencial)	A través de `AKServer` en `system_server` .	La arquitectura permite a los atacantes ejecutar código arbitrario con los máximos privilegios. Esto podría incluir robar credenciales bancarias, mensajes SMS, fotos, ubicación GPS, e instalar o desinstalar cualquier aplicación sin interacción del usuario .	Espionaje completo, robo de identidad, estafa financiera.

Impacto y consecuencias

El impacto y las consecuencias de Keenadu son profundos y multifacéticos, afectando a usuarios, fabricantes y al ecosistema Android en su conjunto. A continuación, se presenta un análisis técnico y extenso de sus repercusiones.

Impacto Global y Alcance de la Infección

Según la telemetría de Kaspersky, hasta febrero de 2026, Keenadu había infectado a más de 13,700 usuarios a nivel mundial . Los países con mayor número de dispositivos comprometidos son Rusia, Japón, Alemania, Brasil y Países Bajos . Sin embargo, se han detectado infecciones en otras naciones, lo que indica un alcance geográfico amplio .

La infección se ha manifestado a través de diversos vectores:

Firmware de dispositivos: Principalmente en tablets de múltiples fabricantes, siendo Alldocube (modelo iPlay 50 mini Pro) uno de los casos confirmados . Lo más alarmante es que el firmware malicioso cuenta con firmas digitales válidas y, en varios casos, se distribuyó a través de actualizaciones OTA (Over-The-Air) oficiales . Esto implica que incluso después de que Alldocube reconociera un ataque de virus en marzo de 2024, las actualizaciones posteriores de firmware para ese dispositivo continuaron infectadas .
Aplicaciones de sistema: Se encontró incrustado en aplicaciones críticas como el servicio de reconocimiento facial (utilizado para desbloquear el dispositivo) y el lanzador del sistema .
Tiendas oficiales de aplicaciones: Tres aplicaciones de cámaras inteligentes para el hogar publicadas en Google Play por el desarrollador Hangzhou Denghong Technology Co., Ltd. ("Eoolii", "Ziicam" y "Eyeplus") acumularon más de 300,000 descargas antes de ser eliminadas . Aunque Google confirmó su eliminación y señaló que Google Play Protect ofrece protección, el daño potencial en términos de exposición ya se había producido .

Consecuencias para el Usuario: Pérdida Total de Control y Privacidad

El impacto para el usuario final es extremo, ya que Keenadu concede a los atacantes un "control virtualmente irrestricto" sobre el dispositivo . Las consecuencias derivan de las capacidades de sus diversos módulos maliciosos:

Compromiso Total de Datos: Dado que el malware se inyecta en el espacio de direcciones de cada aplicación en el dispositivo, puede eludir el sandboxing de Android y acceder a toda la información . Esto incluye:
- Credenciales bancarias y de acceso .
- Mensajes de texto (SMS) y multimedia.
- Datos biométricos: Al estar incrustado en la aplicación de reconocimiento facial, los atacantes podrían potencialmente adquirir los datos del rostro de la víctima .
- Ubicación GPS en tiempo real .
- Seguimiento de actividad: Monitorea las consultas de búsqueda introducidas incluso en el modo incógnito del navegador Chrome .
Fraude Publicitario y Económico: Actualmente, el objetivo principal de los operadores es el fraude publicitario, utilizando los dispositivos como bots para generar clics falsos . Sin embargo, las acciones observadas incluyen:
- Secuestro de búsquedas: Redirigir las consultas del navegador a motores de búsqueda controlados por atacantes para generar ingresos .
- Interacción invisible con anuncios: Módulos como "Nova" o "Phantom" utilizan técnicas avanzadas (incluyendo Machine Learning y WebRTC) para simular interacciones humanas creíbles con anuncios en sitios web abiertos en segundo plano .
- Fraude de atribución de instalaciones: Engaña a las plataformas publicitarias haciéndoles creer que una aplicación fue instalada legítimamente, cuando en realidad fue instalada silenciosamente por el malware .
- Manipulación de carritos de compra: Se ha reportado que tablets infectadas añadían artículos a carritos de compra en plataformas como Amazon, Shein y Temu sin el conocimiento del usuario .
Capacidad para Instalar Cualquier Aplicación: La puerta trasera puede instalar cualquier aplicación desde un archivo APK y otorgarle todos los permisos disponibles sin que el usuario sea notificado o pueda evitarlo . Esto abre la puerta a la instalación de ransomware, spyware más agresivo o cualquier otra amenaza futura.

Consecuencias para Fabricantes y la Cadena de Suministro

El caso de Keenadu expone vulnerabilidades críticas en el proceso de fabricación de dispositivos Android:

Ataque a la Cadena de Suministro: La evidencia apunta a que el malware se insertó durante la fase de compilación del firmware, antes de que los dispositivos llegaran al mercado . Esto implica que los propios fabricantes (como Alldocube y otras marcas no reveladas) probablemente desconocían que sus productos estaban comprometidos desde su origen .
Firmas Digitales Válidas: El hecho de que las imágenes de firmware infectado llevaran firmas digitales válidas sugiere que el compromiso ocurrió antes del proceso de firma o que las claves de firma fueron de alguna manera accesibles a los atacantes, lo que socava la confianza en este mecanismo de seguridad .
Incapacidad de los Fabricantes para Remediar: En el caso de Alldocube, incluso después de reconocer públicamente un problema de seguridad, las actualizaciones OTA posteriores del fabricante continuaron distribuyendo el firmware infectado . Esto demuestra una falta de capacidad o de procesos para auditar y limpiar su entorno de compilación.

Consecuencias para el Ecosistema Android: Interconexión de Botnets

Uno de los hallazgos más preocupantes es la interconexión de Keenadu con otras grandes operaciones de malware para Android:

Colaboración entre Botnets: Los investigadores de Kaspersky encontraron vínculos a nivel de infraestructura entre Keenadu y tres de las botnets de Android más grandes conocidas: Triada, BADBOX y Vo1d .
Sinergia Maliciosa: Se observaron casos de BADBOX implementando activamente payloads de Keenadu en sistemas comprometidos. Esto sugiere que, en lugar de operar de forma aislada, estos grupos maliciosos están interactuando y posiblemente compartiendo recursos o víctimas, lo que amplifica el alcance y la complejidad de la amenaza global .

Implicaciones a Futuro y Dificultad de Mitigación

El potencial de daño de Keenadu va más allá de su uso actual:

Capacidades en Expansión: Aunque ahora se centra en el fraude publicitario, Kaspersky advierte que no se descarta que en el futuro el malware siga los pasos de Triada y comience a robar credenciales de forma activa . La arquitectura de la plataforma lo permite.
Remediación Extremadamente Compleja: La principal consecuencia para los usuarios infectados es la dificultad de eliminar la amenaza. Debido a que Keenadu está incrustado en el firmware a nivel de biblioteca del sistema (libandroid_runtime.so), no puede eliminarse con las herramientas estándar de Android (como un restablecimiento de fábrica) .
- La única solución efectiva es buscar e instalar una versión de firmware limpia del fabricante, lo cual puede no estar disponible.
- Las alternativas, como instalar firmware de terceros, conllevan el riesgo de inutilizar el dispositivo.
- En muchos casos, la opción más segura recomendada por los expertos es simplemente dejar de usar el dispositivo y reemplazarlo por uno de un proveedor de confianza

Origen y motivación

El origen de Keenadu se atribuye a un ataque a la cadena de suministro de múltiples fabricantes de tablets Android, donde los atacantes infiltraron código malicioso durante la fase de compilación del firmware, logrando que el malware se preinstalara en dispositivos antes de llegar al consumidor y que las actualizaciones OTA posteriores también distribuyeran el firmware comprometido con firmas digitales válidas ; aunque los investigadores no han atribuido la operación a un actor específico, señalan que los desarrolladores demostraron un profundo conocimiento de la arquitectura de Android , y su principal motivación actual es económica, operando una campaña de fraude publicitario a gran escala que utiliza los dispositivos infectados como bots para generar clics falsos en anuncios, manipular instalaciones de aplicaciones y secuestrar búsquedas en navegadores , si bien la arquitectura completa de la puerta trasera permitiría fácilmente escalar a robo de credenciales y otras actividades más dañinas en el futuro

Relación de acciones para mitigar el riesgo de esta actividad maliciosa.