Principales destacados
- El malware Keenadu fue detectado integrado en el firmware de tablets desde fábrica
- La amenaza permite un control remoto casi total del dispositivo infectado
- Aplicaciones comprometidas llegaron a Google Play y superaron las 300.000 descargas
Una reciente investigación de la firma de ciberseguridad Kaspersky encendió una señal de alerta en el ecosistema Android.
Sus expertos descubrieron un sofisticado backdoor llamado Keenadu que ya venía preinstalado en el firmware de tablets y smartphones durante el proceso de fabricación.
El hallazgo, divulgado el 16 de febrero de 2026, expone debilidades críticas en la cadena de suministro de hardware. En otras palabras, el problema no comienza con la descarga de una aplicación sospechosa, sino directamente en la etapa de producción del dispositivo.
La infección ocurre en la fase de fabricación
Según el análisis técnico, Keenadu fue incorporado al firmware de Android mediante una biblioteca comprometida vinculada a un archivo central del sistema. El malware logra infiltrarse en el proceso Zygote, responsable de iniciar todas las aplicaciones del sistema operativo.
Esto le permite ejecutarse dentro de cada app abierta en el dispositivo y eludir las protecciones de seguridad habituales. Debido a que está incrustado en la partición del sistema, no puede eliminarse con herramientas convencionales.
La investigación rastreó imágenes de firmware infectadas en dispositivos de distintos fabricantes, incluyendo modelos de Alldocube. Incluso versiones publicadas después de que se reconocieran problemas de seguridad continuaban comprometidas. Todas las imágenes analizadas contaban con firmas digitales válidas, lo que indica que la intrusión ocurrió durante el desarrollo y no a través de un servidor de actualizaciones vulnerado.
También se propagó mediante aplicaciones populares
Además del compromiso a nivel de firmware, Keenadu se distribuyó por otros canales. Los investigadores lo encontraron dentro de aplicaciones del sistema, como servicios de reconocimiento facial y launchers personalizados.
El malware también apareció en versiones modificadas de apps populares distribuidas en tiendas alternativas y en GetApps, la tienda de aplicaciones de Xiaomi.
Lo más preocupante es que aplicaciones infectadas llegaron a la Google Play, acumulando más de 300.000 descargas antes de ser retiradas.
Estas apps, que se presentaban como herramientas para cámaras inteligentes, incluían un servicio malicioso que activaba un módulo de fraude publicitario. Tras la notificación de Kaspersky, Google procedió a eliminarlas.
Robo de datos y control remoto avanzado
Aunque actualmente el foco principal del malware es la monetización mediante fraude publicitario, sus capacidades son mucho más amplias. Keenadu puede interceptar búsquedas realizadas en el navegador, redirigir a los usuarios hacia motores controlados por atacantes y simular clics en anuncios.
La investigación también detectó módulos capaces de monitorear el texto ingresado en la barra de direcciones de Google Chrome y de robar credenciales de plataformas como Telegram e Instagram.
Además, se identificaron vínculos operativos con otras botnets conocidas en Android, como Triada, BADBOX y Vo1d, lo que sugiere infraestructura compartida o colaboración entre distintos grupos criminales.
Hasta febrero de 2026, las soluciones de seguridad móvil de Kaspersky detectaron más de 13.700 dispositivos infectados en países como Rusia, Japón, Alemania, Brasil y Países Bajos.
La única solución efectiva es reinstalar un firmware limpio, ya que el código malicioso permanece oculto en la partición del sistema.
El caso refuerza una advertencia clave en materia de ciberseguridad: la amenaza puede estar presente incluso antes de encender el dispositivo por primera vez.
