Así detecta Google las apps de Android que contienen malware
Google ha explicado en su blog para desarrolladores el proceso que sigue para localizar malware en las apps de Android.
En la publicación, la experta de software Megan Ruthven habla sobre el protocolo Verify Apps de Android, que se utiliza para determinar las posibles aplicaciones dañinas que están instaladas en un dispositivo, y qué ocurre cuando un dispositivo deja de comunicarse con él.
Verify Apps es una función de seguridad que escanea periódicamente las apps descargadas de la Play Store para asegurar que no son peligrosas, pero Ruthven aclara que a veces los teléfonos o tablets dejan de interactuar con él. En ocasiones esto ocurre porque el dispositivo ha pasado a mejor vida, por ejemplo porque el usuario ha dejado de utilizarlo, pero otras veces es porque se ha instalado un malware.
Cuando un dispositivo deja de comunicar con Verify Apps, el dispositivo se considera Muerto o No Seguro (DOI, Dead or Insecure). Una aplicación que ha sido descargada por un elevado porcentaje de dispositivos DOI es una app de tipo DOI. Y también aplica lo contrario, si un dispositivo sigue comunicándose con Verify App tras haber descargado una app, esta app se considera de tipo «retenida».
Android asigna a las apps una puntuación DOI en función del número total de dispositivos que han descargado la app, el número de dispositivos retenidos que ha descargado la app y la probabilidad de que un dispositivo descargue una app que será retenida. En base a esta puntuación, Google determina si una app supone o no una amenaza.
Esta es la fórmula matemática que utiliza el equipo de seguridad de Android:
N = Número de dispositivos que ha descargado la app
x = Número de dispositivos retenidos que han descargado la app
p = Probabilidad de que un dispositivo descargue una app que será retenida.
Z = Puntuación DOI
Si la puntuación DOI es inferior a “-3.7,” esto significa que un gran número de dispositivos han dejado de comunicarse con Verify Apps tras instalar la app en cuestión. Google combina esta puntuación con «otra información» para determinar si es realmente dañina, antes de tomar cualquier acción como eliminar instalaciones actuales o futuras.
Ruthven explica que la implantación de este proceso de seguridad ha contribuido al descubrimiento de apps que contenían malware como Hummingbad, Ghost Push, y Gooligan.
