Uma nova ameaça avançada está alarmando especialistas em segurança digital: o backdoor Keenadu, incorporado diretamente no firmware de tablets Android e distribuído até mesmo por atualizações OTA (Over-The-Air) assinadas digitalmente.
A descoberta foi feita pela empresa de cibersegurança Kaspersky, que identificou o malware presente no firmware de dispositivos de diferentes marcas, incluindo modelos da fabricante Alldocube. Registros indicam que a infecção já ocorria desde agosto de 2023.
O ponto mais preocupante é que os firmwares comprometidos possuíam assinatura digital válida, o que compromete a confiança no processo oficial de atualização do sistema.
Malware inserido antes mesmo do uso do dispositivo
A infecção acontece ainda na fase de construção do firmware, ou seja antes que o tablet chegue ao consumidor. Em alguns casos, o software malicioso também foi distribuído por atualizações OTA legítimas.
O Keenadu está embutido na biblioteca crítica do sistema responsável por iniciar processos essenciais do Android. Durante a inicialização, ele se integra ao mecanismo que inicia os aplicativos do sistema, fazendo com que uma cópia do backdoor seja carregada na memória de cada app executado.
Na prática, isso permite que o malware opere dentro do ambiente de todos os aplicativos, tornando o isolamento de segurança do sistema praticamente ineficaz.
Como funciona o Keenadu
O malware utiliza uma arquitetura multiestágio composta por dois componentes principais:
- AKServer – núcleo do malware, responsável pela lógica principal e comunicação com servidores de comando e controle (C2);
- AKClient – injetado em cada aplicativo executado, servindo como ponte de comunicação com o núcleo do sistema infectado.
Essa estrutura permite que o ataque:
- entregue cargas maliciosas específicas para determinados apps;
- conceda ou revogue permissões arbitrárias;
- colete localização do dispositivo;
- exfiltre dados sensíveis do usuário.
Técnicas sofisticadas de evasão
O Keenadu também apresenta mecanismos avançados para evitar detecção, como:
- encerramento automático caso o sistema esteja configurado em chinês e com fuso horário da China;
- interrupção da execução se serviços essenciais do ecossistema da Google não estiverem presentes;
- atraso de cerca de 2,5 meses antes de ativar cargas maliciosas e dificultando análises em sandbox;
- distribuição de payloads por meio da infraestrutura da Alibaba Cloud.
Principais módulos maliciosos identificados
Entre as funcionalidades detectadas estão módulos capazes de:
- sequestrar buscas no navegador;
- interagir secretamente com anúncios em plataformas como YouTube e Facebook;
- simular instalações legítimas para fraudes publicitárias;
- manipular sistemas de anúncios com técnicas avançadas de automação;
- coletar identificadores de publicidade para rastreamento da vítima.
Embora o foco atual seja monetização fraudulenta, especialistas alertam que a estrutura do malware permite evolução para espionagem e roubo de credenciais.
Alcance global e possível ecossistema de botnets
Dados de telemetria indicam que pelo menos 13.715 usuários já foram impactados, com maior concentração nos seguintes países:
- Rússia
- Japão
- Alemanha
- Brasil
- Holanda
Há ainda indícios de integração com outras botnets, sugerindo um ecossistema coordenado de ameaças móveis.
Além disso, três aplicativos distribuídos na loja oficial da Google Play foram identificados como vetores de propagação. Eles já foram removidos, e a proteção contra versões conhecidas está ativa por meio do Google Play Protect desde que o dispositivo seja certificado.
Por que o Keenadu é uma ameaça crítica
O Keenadu representa um dos cenários mais perigosos da segurança móvel: malware pré-instalado no firmware com privilégios máximos e capacidade de ignorar o modelo tradicional de permissões do sistema.
Por estar integrado a uma biblioteca central do sistema, o backdoor:
- obtém acesso invisível a todos os dados do dispositivo;
- neutraliza o isolamento entre aplicativos;
- permite controle remoto irrestrito.
Análises técnicas indicam que os desenvolvedores do Keenadu possuem profundo conhecimento da arquitetura interna do Android e de seus mecanismos de segurança o que torna a ameaça ainda mais sofisticada.
Conclusão
O caso do Keenadu evidencia uma evolução preocupante nas ameaças móveis: ataques que comprometem dispositivos ainda na origem, antes mesmo do uso pelo consumidor.
Quando o malware está incorporado ao próprio firmware, métodos tradicionais de proteção se tornam insuficientes. Isso reforça a importância de:
- adquirir dispositivos de fabricantes confiáveis;
- manter sistemas atualizados;
- verificar certificação do dispositivo;
- utilizar soluções de segurança confiáveis.
