.svg?width=185&quality=80&auto=webp&format=auto&cache=true&immutable=true&cache-control=max-age%3D31536000 "Home"){kind=logo}
.svg?width=13&quality=80&auto=webp&format=auto&cache=true&immutable=true&cache-control=max-age%3D31536000 "Top Navigation - Sign in - Icon")
A finales de febrero de 2026, los analistas de SophosLabs identificaron múltiples detecciones en dispositivos Android de actividad maliciosa asociada con la puerta trasera Keenadu. Según Kaspersky, Keenadu es una infección de firmware incrustada en libandroid_runtime.so (biblioteca de objetos compartidos) que se inyecta en el proceso Zygote. Como Zygote es el proceso principal de todas las apps de Android, un atacante consigue, en la práctica, el control total sobre un dispositivo infectado. Keenadu actúa como un descargador de módulos de malware de segunda fase que pueden usarse para atacar los datos de varias aplicaciones. Todas las apps de Android dependen de libandroid_runtime.so para funcionar, así que el sistema copia una instancia de Keenadu en el espacio de direcciones de cada app instalada en un dispositivo infectado.
El código de Keenadu reside en una biblioteca estática (libVndxUtils.a) del dispositivo infectado y se apoya en una dependencia maliciosa que se hace pasar por código legítimo de MediaTek. Basándose en los indicios asociados al despliegue de Keenadu, Kaspersky concluyó que los atacantes lo «integraron en el firmware durante la fase de compilación» en un ataque a la cadena de suministro, en lugar de instalarlo posteriormente a través de un servidor OTA (over-the-air) comprometido.
Las aplicaciones a las que apunta el malware dependen de los módulos que el atacante elija descargar. Algunos ejemplos son tiendas online como Shein, Temu y Amazon. Los módulos «clicker» apuntan a YouTube, Facebook y la aplicación Bienestar digital, y cometen fraude publicitario conectándose silenciosamente a sitios web en segundo plano para generar ingresos por pago por clic. Otro módulo «clicker» está integrado en el lanzador del sistema (com.android.launcher3) y parece diseñado para monetizar cada instalación. Un módulo ataca al navegador Google Chrome.
Los dispositivos infectados que Sophos detectó presentaban sistemáticamente dos archivos APK a nivel del sistema: PriLauncher.apk y PriLauncher3QuickStep.apk. Estos archivos se encontraban en directorios a nivel del sistema (por ejemplo, /system/system_ext/priv-app/PriLauncher3QuickStep/PriLauncher3QuickStep.apk). QuickStep es el lanzador predeterminado del sistema Android y un componente fundamental del Proyecto de Código Abierto de Android (AOSP). La detección de estos archivos APK como maliciosos sugiere que alguien troyanizó estos componentes para ejecutar Keenadu en determinados dispositivos. El agente de endpoint Sophos Intercept-X para Android no bloquea las versiones legítimas de QuickStep.
A fecha de 4 de marzo, la telemetría de Sophos X-Intercept registraba más de 500 dispositivos Android comprometidos únicos en casi 50 modelos. La mayoría de los dispositivos eran modelos de bajo coste que los siguientes fabricantes produjeron: Allview, BLU, Dcode, DOOGEE, Gigaset, Gionee, Lava y Ulefone. La lista no incluía dispositivos Alldocube, a pesar de que, según se informa, Kaspersky observó que Keenadu también afectaba a ese fabricante. Las infecciones identificadas se extendieron por todo el mundo, con dispositivos ubicados en 40 países.
Las organizaciones que permiten a los usuarios acceder a los recursos corporativos desde dispositivos personales corren un riesgo elevado. Aunque la exfiltración de datos se produce desde el propio dispositivo, los actores maliciosos podrían acceder a una red corporativa a través de credenciales expuestas almacenadas en aplicaciones del dispositivo infectado.
Los analistas de SophosLabs recomiendan seguir los pasos descritos en el artículo técnico KBA-000047016. Los usuarios de Android deben instalar el firmware actualizado si el fabricante lo publica. Hasta que se haya actualizado el firmware, las organizaciones deberían considerar restringir el acceso a la red corporativa a los modelos afectados.
La siguiente protección de Sophos está relacionada con esta amenaza:
- Andr/Bckdr-SBS
Los indicadores de amenaza de la Tabla 1 se pueden usar para detectar actividad relacionada con esta amenaza. Ten en cuenta que los proveedores pueden reasignar las direcciones IP. Los dominios y las direcciones IP pueden contener contenido malicioso, así que valora los riesgos antes de abrirlos en un navegador.
| Indicator | Tipo | Contexto |
| 11eaf02f41b9c93e9b3189aa39059419 | Hash MD5 | Firmaware del BLU Bold K50 infectado con Keenadu (PriLauncher3QuickStep.apk) |
| 7db58b72a3493a86e847c3685eca74c690d50b55 | Hash SHA1 | Firmaware del BLU Bold K50 infectado con Keenadu (PriLauncher3QuickStep.apk) |
| 52db1f284a0dccbb750314cf765131a17a8284a2aeea04701a2b71f35fb9d9ee | Hash SHA256 | Firmaware del BLU Bold K50 infectado con Keenadu (PriLauncher3QuickStep.apk) |
| 3c03168c98ad6111c3aa0a960f8b7eea | Hash MD5 | KeenaFirmaware del BLU G84 infectado con Keenadu (PriLauncher3QuickStep.apk) |
| dcf2b51bfc43494bb27f5da26f3f706ca878d17e | Hash SHA1 | Firmaware del BLU G84 infectado con Keenadu (PriLauncher3QuickStep.apk) |
| cdf1d41d732ba882184060933bec2c1f4b8eefc081c06471132a690f2205da31 | Hash SHA256 | Firmaware del BLU G84 infectado con Keenadu (PriLauncher3QuickStep.apk) |
| cb0d514d86ddfaf4345d25cef064863b | Hash MD5 | Firmaware del Ulefone Armor 22 infectado con Keenadu (PriLauncher.apk) |
| b73c94e56932f607108ec1efb74004c763a9e42b | Hash SHA1 | Firmaware del Ulefone Armor 22 infectado con Keenadu |
| ab6d744dccf4c6266474df4b8aa3be6ae5663dbee39c579a552a4cfa1c1d12fd | Hash SHA256 | Firmaware del Ulefone Armor 22 infectado con Keenadu (PriLauncher.apk) |
| cd619b4e1e793f96eca877616a741bc1 | Hash MD5 | Firmaware del Ulefone Armor X13 infectado con Keenadu (PriLauncher.apk) |
| c33b025bac789d3742278f784377fc36f83fd1ff | Hash SHA1 | Firmaware del Ulefone Armor X13 infectado con Keenadu (PriLauncher.apk) |
| da1c7f53add0abaa8a49b773e5cea9c9171799f644ec24e366aaf7ce29962a11 | Hash SHA256
| Firmaware del Ulefone Armor X13 infectado con Keenadu (PriLauncher.apk) |
| b80b39ed95d54c8c1bf12e35f92e23cc | Hash MD5 | Firmaware del Ulefone Armor 24 infectado con Keenadu (PriLauncher3QuickStep.apk) |
| 7eb32a90d556bb9954707014843a67f7039ea7f1 | Hash SHA1 | Firmaware del Ulefone Armor 24 infectado con Keenadu (PriLauncher3QuickStep.apk) |
| 34a0236b5c7b47577be4501e2c18908916ef9ec22032a6ea41b0ecceaf4e8d8a | Hash SHA256 | Firmaware del Ulefone Armor 24 infectado con Keenadu (PriLauncher3QuickStep.apk) |
| playstations[.]click | Nombre de dominio | Servidor C2 para la puerta trasera Keenadu |
| uscelluliar[.]com | Nombre de dominio | Servidor C2 para la puerta trasera Keenadu |
| gstatic2[.]com | Nombre de dominio | Servidor C2 para la puerta trasera Keenadu |
| glogstatic[.]com | Nombre de dominio | Servidor C2 para la puerta trasera Keenadu |
| ytimg2[.]com | Nombre de dominio | Servidor C2 para la puerta trasera Keenadu |
| gmsstatic[.]com | Nombre de dominio | Servidor C2 para la puerta trasera Keenadu |
| gsonx[.]com | Nombre de dominio | Servidor C2 para la puerta trasera Keenadu |
| keepgo123[.]com | Nombre de dominio | Servidor C2 para la puerta trasera Keenadu |
| sliidee[.]com | Nombre de dominio | Servidor C2 para la puerta trasera Keenadu |
| newsroomlabss[.]com | Nombre de dominio | Servidor C2 para la puerta trasera Keenadu |
| fbgraph[.]com | Nombre de dominio | Servidor C2 para la puerta trasera Keenadu |
| dllpgd[.]click | Nombre de dominio | Servidor C2 para la puerta trasera Keenadu |
| gvvt1[.]com | Nombre de dominio | Servidor C2 para la puerta trasera Keenadu |
| proczone[.]com | Nombre de dominio | Servidor C2 para la puerta trasera Keenadu |
| goaimb[.]com | Nombre de dominio | Servidor C2 para la puerta trasera Keenadu |
| aifacecloud[.]com | Nombre de dominio | Servidor C2 para la puerta trasera Keenadu |
| gbugreport[.]com | Nombre de dominio | Servidor C2 para la puerta trasera Keenadu |
| tmgstatic [.]com | Nombre de dominio | Servidor C2 para la puerta trasera Keenadu |
| fbsimg[.]com | Nombre de dominio | Servidor C2 para la puerta trasera Keenadu |
| launcher[.]szprize[.]cn | Nombre de dominio | Servidor C2 para la puerta trasera Keenadu |
| iboot[.]site | Nombre de dominio | Servidor C2 para la puerta trasera Keenadu |
| 67[.]198[.]232[.]187 | Dirección IP | Servidor C2 para la puerta trasera Keenadu |
| 67[.]198[.]232[.]4 | Dirección IP | Servidor C2 para la puerta trasera Keenadu |
| 110[.]34[.]191[.]82 | Dirección IP | Servidor C2 para la puerta trasera Keenadu |
| 110[.]34[.]191[.]81 | Dirección IP | Servidor C2 para la puerta trasera Keenadu |
Tabla 1: indicadores de esta amenaza