Rootnik
Ficha presunta. Sus datos vienen de reportes públicos que nombran al arma (fuentes al pie) y todavía no los corrobora una segunda fuente independiente. Cuando otra fuente coincida, la ficha pasa a verificada.
Qué es
Rootnik es un troyano para Android que explota vulnerabilidades en versiones 4.3 o anteriores al instrumentalizar la herramienta comercial de root Root Assistant. Se distribuye mediante aplicaciones legítimas reempaquetadas y, tras instalarse, obtiene acceso root, instala archivos persistentes y roba datos sensibles como contraseñas WiFi y ubicación.
Cómo llega
Se distribuye mediante aplicaciones legítimas reempaquetadas. Explota las vulnerabilidades CVE-2013-2596, CVE-2013-2597 y CVE-2013-6282 para obtener acceso root en Android 4.3 o versiones anteriores.
Qué hace una vez dentro
Obtiene acceso root usando exploits robados e instala cuatro archivos APK persistentes en la partición del sistema. Realiza campañas agresivas de promoción de aplicaciones, instala y desinstala aplicaciones silenciosamente, descarga y ejecuta código remoto. Recolecta contraseñas WiFi, ubicación, identificadores de dispositivo y direcciones MAC.
A quién ataca
Afecta principalmente a usuarios en Estados Unidos, Malasia, Tailandia, Líbano y Taiwán. Se distribuye globalmente mediante aplicaciones legítimas reempaquetadas que llegan a dispositivos Android con versiones 4.3 o anteriores.
Vulnerabilidades asociadas
| CVE | Producto | CVSS | KEV de CISA | Fuente |
|---|---|---|---|---|
| CVE-2013-2596 | Linux Kernel | 7.8 | Sí | AlienVault OTX (presunta) |
| CVE-2013-2597 | Code Aurora ACDB Audio Driver | 8.4 | Sí | AlienVault OTX (presunta) |
| CVE-2013-6282 | Linux Kernel | 8.8 | Sí | AlienVault OTX (presunta) |
Actividad en feeds públicos
| Tipo de indicador | Nuevos en 30 días |
|---|---|
| Servidores de comando y control (IP:puerto) | 0 |
| Dominios | 0 |
| URLs | 0 |
| Hashes de archivos | 0 |
Sin indicadores nuevos en los feeds que seguimos en los últimos 30 días.
← Todo el catálogo de armamento
