La verdad sobre las aplicaciones para teléfonos inteligentes que se conectan en secreto a los sitios de publicidad y rastreo de usuarios

Básicamente, hay dos entornos completamente diferentes en los que descargar aplicaciones. La primera es la tienda de aplicaciones de Apple, que examina cuidadosamente las aplicaciones antes de permitir que aparezcan solo las que se consideren adecuadas. La segunda es la tienda Google Play, que es más abierta porque Google ejerce un toque más ligero en la investigación de aplicaciones, excluyendo solo aquellas que son obviamente maliciosas.

Pero debido a que Google Play es más abierto, las aplicaciones que ofrece abarcan un rango de calidad mucho más amplio. Muchos se conectan a sitios relacionados con anuncios y sitios de seguimiento, mientras que otros se conectan a sitios mucho más dudosos que están asociados con malware.

Pero aquí está el problema: esta actividad a menudo se lleva a cabo sin que el propietario se dé cuenta de lo que está sucediendo. Eso es algo que la mayoría de los usuarios de teléfonos inteligentes se horrorizarían al descubrir, si tan solo pudieran hacerlo.

Hoy, Luigi Vigneri y sus amigos de Eurecom en Francia tienen una solución. Estos muchachos han ideado una forma automatizada de verificar las aplicaciones en Google Play y monitorear los sitios a los que se conectan. Y sus resultados revelan la extraordinaria escala de conexiones secretas que hacen muchas aplicaciones sin que sus dueños se den cuenta.

Vigneri y compañía comenzaron descargando más de 2000 aplicaciones gratuitas de las 25 categorías en la tienda Google Play. Luego, lanzaron cada aplicación en un Samsung Galaxy SIII con la versión de Android 4.1.2 que se configuró para canalizar todo el tráfico a través del servidor del equipo. Esto registró todas las URL con las que cada aplicación intentó contactar.

A continuación, compararon las direcciones URL con una lista de sitios conocidos relacionados con anuncios de una base de datos llamada EasyList y una base de datos de sitios de seguimiento de usuarios llamada EasyPrivacy, ambas compiladas para el proyecto de código abierto AdBlock Plus. Finalmente, contaron el número de coincidencias en cada lista para cada aplicación.

Los resultados hacen una lectura interesante. En total, las aplicaciones se conectan a 250 000 direcciones URL diferentes alucinantes en casi 2000 dominios de nivel superior. Y aunque la mayoría intenta conectarse a un puñado de sitios de anuncios y seguimiento, algunos son mucho más prolíficos.

Vigneri y compañía dan como ejemplo Music Volume Eq, una aplicación diseñada para controlar el volumen, una tarea que no requiere una conexión a ninguna URL externa. Y, sin embargo, la aplicación hace muchas conexiones. Encontramos que la aplicación Music Volume EQ se conecta a casi 2,000 URL distintas, dicen.

Y no está solo en sus excesos. El equipo dice que alrededor del 10 por ciento de las aplicaciones que probaron se conectan a más de 500 direcciones URL diferentes. Y nueve de cada 10 de los dominios relacionados con anuncios de contacto más frecuente están a cargo de Google.

Los sitios de seguimiento de usuarios a los que se conectan las aplicaciones son menos omnipresentes. Más del 70 por ciento de las aplicaciones no se conectan a ningún sitio de seguimiento de usuarios. Pero los que lo hacen pueden ser extravagantes, algunos se conectan a más de 800 sitios de seguimiento de usuarios. Además, muchos de estos son creados por organizaciones que Google ha designado con el estado de desarrollador superior. El peor infractor es una aplicación llamada Eurosport Player que se conecta a 810 sitios de seguimiento de usuarios diferentes.

Una pequeña proporción de las aplicaciones incluso parece estar diseñada para conectarse a sitios sospechosos relacionados con malware.

La mayoría de los usuarios de estas aplicaciones tendrán poco o ningún conocimiento de este tipo de comportamiento. Entonces, Vigneri y compañía desarrollaron su propia aplicación que monitorea el comportamiento de otros en el teléfono inteligente de un usuario y revela exactamente a qué sitios externos intentan conectarse estas aplicaciones.

Llaman a su nueva aplicación NoSuchApp o NSA para abreviar en honor a una agencia de monitoreo con siglas similares.

Eso debería dar a los usuarios de Android confianza en las aplicaciones que usan. Con esta aplicación, nuestro objetivo es proporcionar un mecanismo para que los usuarios finales estén al tanto de la actividad de red de sus aplicaciones de Android instaladas, dicen Vigneri y compañía.

El equipo planea hacer que la aplicación esté disponible públicamente en Google Play en un futuro próximo.

Ref: arxiv.org/abs/1504.06093 : Domando la tienda de aplicaciones de Android: caracterización ligera de las aplicaciones de Android

esconder