Un nuevo y sofisticado backdoor para Android infecta el firmware de los dispositivos en la etapa de compilación y se propaga a través de aplicaciones de Google Play, permitiendo a los atacantes tomar el control remoto de tablets y teléfonos de las víctimas.

Publicado el 16 de febrero de 2026, su análisis detallado revela cómo esta amenaza imita al troyano Triada al inyectarse en el proceso Zygote, comprometiendo cada aplicación que se inicia.

En abril de 2025, Kaspersky informó sobre el compromiso del firmware por parte de Triada en dispositivos Android falsificados, donde exfiltró credenciales mediante la infección de Zygote. Esto llevó a una investigación más profunda, descubriendo Keenadu en firmware de marcas como Alldocube.

El backdoor incorpora una librería estática maliciosa, libVndxUtils.a (MD5: ca98ae7ab25ce144927a46b7fee6bd21), en libandroid_runtime.so durante la compilación del firmware.

Una vez desplegado, generalmente mediante actualizaciones OTA, descifra las cargas útiles usando RC4, las carga a través de DexClassLoader en /data/dalvik-cache/ y establece una arquitectura cliente-servidor con AKClient en las apps y AKServer en system_server.

Mecánica de infección y cargas útiles

El dropper de Keenadu en libandroid_runtime.so modifica el método println_native para invocar __log_check_tag_count, descifrando y ejecutando com.ak.test.Main. Evita aplicaciones de Google/Sprint/T-Mobile y mecanismos de autodestrucción, luego usa binder IPC para el control entre procesos.

AKServer difunde interfaces para conceder/revocar permisos, geolocalización y exfiltración de datos, mientras que MainWorker consulta servidores C2 como los descifrados con AES-128 (claves derivadas del MD5 de “ota.host.ba60d29da7fd4794b5c5f732916f7d5c”).

Las cargas útiles interceptadas atacan navegadores (secuestro de búsquedas en Chrome mediante el monitoreo de url_bar), lanzadores (monetización mediante seguimiento de sesiones) y aplicaciones de compras (Amazon, SHEIN, Temu como cargadores de APKs), según el informe de Kaspersky.

Módulos como Nova/Phantom clicker usan ML/WebRTC para fraudes publicitarios; otros se integran en sistemas de reconocimiento facial (com.aiworks.faceidservice, MD5: d840a70f2610b78493c41b1a344b6893) o lanzadores. Las cargas útiles emplean firmas DSA, verificaciones MD5 y descifrado AES antes de ejecutarse.

El compromiso de la cadena de suministro es evidente: firmwares firmados de Alldocube (como el iPlay 50 mini Pro T811M de agosto de 2023) incluyen el backdoor, con rutas de origen como D:\work\git\zh\os\ak-client que revelan artefactos de desarrollo. La telemetría de Kaspersky muestra infecciones más allá de las tablets Alldocube.

Aplicaciones independientes en Google Play (como software de cámaras inteligentes, con más de 300.000 descargas) y Xiaomi GetApps incorporan módulos como Nova clicker a través de servicios como com.arcsoft.closeli.service.KucopdInitService. Google las eliminó tras ser notificado.

Indicadores y conexiones

Kaspersky detecta variantes como HEUR:Backdoor.AndroidOS.Keenadu.*, Trojan-Downloader.AndroidOS.Keenadu.* y Trojan-Dropper.AndroidOS.Gegu.*.

Keenadu está vinculado a Triada, BADBOX y las botnets Vo1d mediante código compartido, solapamiento de C2 (como zcnewy[.]com) y distribución de cargas útiles. BADBOX despliega cargadores de Keenadu; Triada comparte módulos de robo de credenciales.

Más de 13.715 víctimas en todo el mundo, con picos en Rusia, Japón, Alemania y Brasil. Para la remediación: actualiza el firmware si existen versiones limpias; desactiva aplicaciones del sistema infectadas mediante ADB (ejemplo: pm disable com.aiworks.faceidservice); desinstala aplicaciones descargadas de fuentes no oficiales; evita usar el dispositivo hasta que esté parcheado.

Esta amenaza subraya los riesgos en la cadena de suministro de firmware, exigiendo auditorías de proveedores y arranques verificados.

Fuentes:

https://securelist.com/keenadu-android-backdoor/118913/
https://cybersecuritynews.com/keenadu-android-malware/