Prueba cerebral

Brain Test era un programa malicioso que se hacía pasar por una aplicación de Android para evaluar el coeficiente intelectual del usuario . ^{[ 1 ] [ 2 ]} Brain Test fue descubierto por la empresa de seguridad Check Point y estuvo disponible en la tienda de aplicaciones Google Play hasta el 15 de septiembre de 2015. ^{[ 1 ]} Check Point describió Brain Test como "Un nuevo nivel de sofisticación en el malware". ^{[ 1 ]}

Brain Test se subió en dos ocasiones (com.zmhitlte.brain y com.mile.brain), a partir de agosto de 2015. En ambas ocasiones, el antivirus Bouncer de Google no logró detectar el malware. Tras la primera eliminación, el 24 de agosto de 2015, el software se reintrodujo mediante una técnica de ofuscación . Tim Erin, de Tripwire, afirmó que "eludir los procesos de verificación de Apple y Google es la clave de una campaña de malware móvil".

El malware resultó incluir un rootkit , y la revelación fue descrita como "más astuta de lo que se pensaba inicialmente". ^{[ 3 ]}

Se cree que el malware fue escrito por un actor de amenazas chino, según Shaulov de Check Point, basándose en el uso de una herramienta de empaquetado/ofuscación de Baidu . Eleven Paths, una empresa propiedad de Telefónica , encontró vínculos con muchos otros programas maliciosos, basándose en la identificación utilizada para acceder a Umeng , los dominios de Internet a los que accedían las aplicaciones y las imágenes JPG y PNG compartidas . ^{[ 4 ]}

Al parecer, la aplicación se detectó por primera vez en un Nexus 5 mediante el sistema de prevención de amenazas móviles de Check Point . El hecho de que el sistema no pudiera eliminar el malware alertó a los investigadores de la compañía de software de que se trataba de una amenaza inusual.

Según Check Point, puede ser necesario volver a flashear la ROM de un dispositivo si Brain Test ha instalado correctamente un reinstalador en el directorio del sistema.

El malware se subió en dos formatos. La función de empaquetado solo estaba presente en el segundo.

• Evade la detección de Google Bouncer evitando el comportamiento malicioso en los servidores de Google con direcciones IP 209.85.128.0–209.85.255.255, 216.58.192.0–216.58.223.255, 173.194.0.0–173.194.255.255 o 74.125.0.0–74.125.255.255 o nombres de dominio "google", "android" o "1e100".
• Exploits de root. Se incluyeron cuatro exploits para obtener acceso de root al sistema, para tener en cuenta las variaciones en el kernel y los controladores de diferentes fabricantes y versiones de Android, ^{[ 5 ]} que proporcionan rutas alternativas para obtener acceso de root.
• Cargas útiles externas: a través del sistema de comando y control. El sistema utilizaba hasta cinco servidores externos para proporcionar cargas útiles variables, que se cree que estaban relacionadas principalmente con la publicidad.
• Empaquetado y retardo. La parte principal del malware descargado se encuentra en un archivo de sonido, y el código de arranque lo desempaqueta después de un retardo.
• Instalación y reinstalación dual. Se instalan dos copias del malware. Si se elimina una, la otra la reinstala.

• Shedún
• Xcode Ghost

• Cobertura detallada en Forbes.
• Vídeo de Graham Cluley en Brain Test
• Washington Post archivado el 26 de noviembre de 2015 en Wayback Machine .