Cómo funciona el Detector de apps sospechosas de Applore, y sus límites

Antes de cambiar nada

Lo que compara la revisión

El Detector de apps sospechosas de Applore revisa cada app instalada en tu teléfono y la compara con una lista de amenazas de tres formas:

• el nombre de paquete de la app, el identificador único que tiene cada app de Android, como com.example.app
• el certificado de firma de la app, la firma digital que usa su desarrollador. Una coincidencia aquí cuenta aunque se le haya cambiado el nombre a la app.
• la huella del archivo de la app, un código que se calcula a partir del archivo de instalación de la app en tu teléfono. Coincide con una versión exacta de una app.

La lista de amenazas combina varias fuentes públicas:

• los indicadores de stalkerware publicados por Echap con la licencia CC BY 4.0. Cubren el stalkerware, apps que se venden para monitorear en secreto a otra persona, y un conjunto aparte de watchware, apps de monitoreo como las de control parental o de seguimiento de empleados, que suelen instalarse abiertamente.
• los indicadores del Mobile Verification Toolkit (licencia MIT), que enumeran apps comerciales de spyware que han documentado investigadores.
• los indicadores publicados por ESET (licencia BSD 2-Clause) para apps dañinas de Android.
• una lista corta que mantiene Applore, como las apps de prueba de antivirus y los nombres de productos de stalkerware.

Las apps dañinas conocidas nunca se identifican solo por el nombre de paquete. Las apps dañinas reempaquetadas suelen reutilizar el nombre de una app popular, así que una coincidencia de nombre podría marcar la app legítima. Solo se identifican por el certificado de firma o por la huella exacta del archivo.

Cómo llega la lista a tu teléfono. Una persona revisa cada actualización y la publica a mano. Applore busca una lista firmada nueva aproximadamente una vez al día cuando el teléfono tiene conexión. Comprueba la firma y rechaza cualquier archivo que se haya modificado, que esté dañado o que sea más pequeño de lo esperado, y en ese caso sigue usando la lista que ya tiene. La app también trae una copia. Buscar una actualización descarga un archivo y no envía nada sobre tus apps.

Ninguna de estas fuentes es completa. Echap indica que sus indicadores no son una lista completa de stalkerware y que no hay garantía de que sean exactos, y una versión nueva de una app puede aparecer antes de que alguna lista la incluya. Por eso Applore también busca señales de advertencia.

Resultados de Google Play Protect

Si Google Play Protect está activado, Applore también le pregunta qué apps instaladas informa como dañinas y las muestra con Play Protect indicado como la fuente. Play Protect es el analizador de Google, integrado en los teléfonos Android con Google Play. Si Play Protect está desactivado, o el teléfono no tiene los servicios de Google Play, esta parte de la revisión se omite y el resto sigue. Cuando Play Protect está desactivado, el Detector de apps sospechosas muestra un aviso para que puedas volver a activarlo. Lo que revisa Google Play Protect explica sus propios límites.

Señales de comportamiento que puntúa Applore

Para las apps que no coinciden con la lista, Applore puntúa señales que suelen mostrar las apps de monitoreo. Cada una, por sí sola, también es común en apps normales.

Estar instalada desde fuera de una tienda de apps es una condición de entrada, no una prueba por sí sola. Una app instalada desde un archivo con un ícono visible solo llega a Alto cuando otra señal fuerte lo respalda: un ícono oculto, acceso de accesibilidad y a notificaciones a la vez, un nombre de app del sistema, un certificado de prueba de desarrollador, o acceso a por lo menos cuatro de estos permisos: micrófono, cámara, ubicación, mensajes, historial de llamadas y contactos, mientras está configurada para seguir ejecutándose e iniciarse con el teléfono. Una app para grabar llamadas que instalaste tú puede parecerse a este último caso, así que puedes marcarla como confiable.

Una copia de una app popular, por sí sola, es Merece atención: las versiones modificadas y las descargas oficiales desde el sitio web de un desarrollador también se ven así. Solo llega a Alto con un ícono oculto o con acceso de accesibilidad, a notificaciones o de administrador del dispositivo.

Applore omite las apps del sistema y a sí mismo. Las apps instaladas por el propio firmware del fabricante del teléfono, como las apps regionales o del operador, se tratan como instalaciones de una tienda de apps.

Qué significan los niveles

Cada app marcada recibe uno de estos niveles, con las mismas palabras que usa la app:

Aplicación de monitoreo conocidaAltoMerece atenciónNo marcado

• Aplicación de monitoreo conocida: el nombre de paquete, el certificado de firma o la huella del archivo coinciden con stalkerware conocido de la lista; una app de monitoreo conocida se instaló desde un archivo y oculta su ícono; o una app de fuera de una tienda usa el nombre de un producto de stalkerware conocido y puede usar accesos sensibles.
• Alto: instalada desde fuera de una tienda de apps con señales de advertencia fuertes, como un ícono desactivado, o un ícono oculto junto con acceso de accesibilidad, a notificaciones o de administrador del dispositivo. Una app que coincide con una app dañina conocida por certificado o por archivo, o que Google Play Protect informa como dañina, también es Alto, venga de donde venga. Una app de prueba de antivirus también aparece aquí, indicada como una amenaza de prueba inofensiva.
• Merece atención: algunas señales de advertencia, o una app de monitoreo conocida instalada desde una tienda de apps. Revísala cuando tengas un momento.
• No marcado: ninguna coincidencia y no hay suficientes señales. Esto no prueba que la app, o el teléfono, estén bien.

Dentro de Applore, Acerca de esta app explica cada hallazgo con palabras sencillas: qué puede ver o hacer la app, de dónde vino, cuándo se instaló y por qué se marcó.

Apps de monitoreo y stalkerware

Las apps familiares, de control parental y para empleados de Google Play se etiquetan como apps de monitoreo, no como stalkerware. Suelen instalarse abiertamente y pueden ser legítimas, pero también se pueden usar mal. Una app instalada desde una tienda de apps puede llegar como máximo a Merece atención, salvo que coincida con la lista de amenazas o que Play Protect la informe. Apps de monitoreo y stalkerware explica la diferencia.

Eliminado de Play: una lista aparte

Applore también muestra Eliminado de Play: las apps instaladas que aparecen en una lista descargada de apps que Google eliminó de Google Play por motivos de política, sobre todo adware o fraude. No es una revisión de spyware ni de malware, y se mantiene separada del Detector de apps sospechosas. Nunca sube el nivel de stalkerware de una app y nunca envía un recordatorio por sí sola.

Cuándo se hacen las revisiones

Applore te pide tu consentimiento antes de leer tu lista de apps por primera vez. Después, las revisiones se hacen:

• cuando abres Applore
• en segundo plano, de forma programada, incluida una nueva revisión diaria de todas las apps instaladas
• cuando se agregan o actualizan apps, según Android informa esos cambios

El ahorro de batería de Android puede retrasar las revisiones en segundo plano, así que una app nueva puede no revisarse de inmediato.

Si Applore encuentra un resultado Aplicación de monitoreo conocida o Alto, te lo recuerda más tarde y de nuevo hasta que actúes: después de una hora aproximadamente, más tarde ese mismo día, al día siguiente, luego a diario durante una semana y después cada semana. Descartar un recordatorio deslizando no borra el hallazgo. Un hallazgo se resuelve cuando se elimina la app, o cuando la marcas como confiable con el PIN o el patrón de tu Bloqueo de App. Los resultados Merece atención aparecen en la lista sin recordatorio.

Lo que Applore no puede hacer

Applore tampoco puede ver qué accesos especiales se le dieron a otra app en algunos ajustes, como el acceso al uso o la superposición sobre otras apps. Solo puede ver que la app los pidió.

Algunos tipos de monitoreo quedan fuera de lo que puede ver cualquier revisión de apps:

• implantes en el software del sistema del teléfono o herramientas que necesitan un teléfono con root
• ataques que no necesitan ninguna app, como los exploits sin clic (zero-click)
• el espionaje a través de una cuenta o un servicio en la nube compartidos o con la sesión iniciada. La Verificación de seguridad te guía por esos ajustes, pero no puede inspeccionarlos por ti.
• el tráfico de red, y el desvío de llamadas o mensajes configurado con tu operador

Qué se envía y qué no

• La revisión se hace en tu teléfono. La detección no sube nada sobre tus apps, y los resultados se quedan en el dispositivo.
• Las actualizaciones de la lista de amenazas son solo descargas. Applore obtiene la lista firmada de applore.io. Como cualquier solicitud web, esto muestra tu dirección IP al servidor, pero no lleva nada sobre tus apps.
• A Play Protect se le pregunta en el teléfono. Si Play Protect está activado, Applore le pregunta a través de los servicios de Google Play de tu teléfono.
• No se envían nombres de paquete a analíticas. Los eventos de analíticas sobre la revisión llevan cantidades, no nombres de apps.
• Una excepción: Categoría de app. Cuando abres Categoría de app en el Gestor de Apps, los nombres de paquete se envían al servidor de Applore para agrupar las apps por categoría. Es una función aparte, explicada en la política de privacidad.
• El informe sale solo si lo compartes. Un informe de evidencia se crea en tu teléfono y solo sale de él con el menú para compartir de Android, hacia el lugar que elijas. Consulta compartir un registro de lo que encontró Applore.

Pide apoyo

La app Applore incluye contactos de apoyo de India, Estados Unidos y Reino Unido, además de opciones internacionales. Si vives en otro lugar, busca una línea de ayuda contra la violencia doméstica en tu país. La página de líneas de ayuda indica por dónde empezar. Si estás en peligro inmediato, llama a tu número de emergencia local.

Para ver la lista de datos y licencias de terceros que usa Applore, consulta los créditos. Todas las guías de seguridad están en el centro de seguridad.