Una aplicación oculta del sistema incluida en los smartphones de Motorola ha sido detectada interceptando los lanzamientos de la aplicación de Amazon iniciados por el usuario y redirigiéndolos silenciosamente a través de URLs de seguimiento de afiliados, lo que plantea serias dudas sobre la integridad de la cadena de suministro, el consentimiento del usuario y las prácticas de ingresos no reveladas en dispositivos Android premium.

El comportamiento fue reportado inicialmente por un usuario de Reddit con un Motorola Razr 60 Ultra, quien notó que al pulsar el icono de la aplicación de Amazon, esta ya no se abría directamente. En su lugar, el dispositivo iniciaba una sesión de navegador que apuntaba a una URL desconocida, la cual posteriormente redirigía a Amazon.com con un código de afiliado incrustado.

El análisis del tráfico de red reveló que la culpable era una aplicación de sistema oculta y preinstalada llamada Smart Feed. La aplicación realiza solicitudes salientes a devicenative[.]com, un servidor externo que parece suministrar las configuraciones de la aplicación objetivo y los códigos de afiliados.

Cuando pulsas el icono de una aplicación de compras en el lanzador, Smart Feed intercepta la intención y la sustituye por una redirección del navegador que lleva la carga útil de monetización.

El flujo del ataque es sencillo:

• Pulsas Amazon (o potencialmente otras aplicaciones de compras) en el lanzador.
• Smart Feed intercepta la intención de lanzamiento antes de que llegue a la aplicación objetivo.
• La aplicación consulta a devicenative[.]com para obtener los parámetros de afiliación.
• El navegador se abre con una URL de redirección que resuelve en Amazon con una etiqueta de afiliado inyectada.
• Llegas a Amazon.com, sin saber que se ha reclamado un crédito de ingresos.

La redirección pasaría completamente desapercibida a menos que hubieras desactivado el ajuste de "Abrir enlaces en la aplicación por defecto", una configuración no predeterminada que la mayoría de los usuarios nunca cambian.

Más allá de la evidente mala conducta financiera, este comportamiento muestra rasgos típicamente asociados con el adware y las técnicas de troyanos bancarios: secuestro de intenciones, persistencia oculta a nivel de sistema y comunicación externa estilo C2 con un servidor remoto (devicenative[.]com) para configurar el objetivo dinámicamente. El uso de una aplicación preinstalada y oculta evita que los usuarios la descubran o la desinstalen fácilmente.

Desde la perspectiva del modelado de amenazas, la misma arquitectura que hoy inyecta códigos de afiliados podría, teóricamente, actualizarse desde el servidor para redirigirte a páginas de phishing o sitios de recolección de credenciales.

La dependencia de un dominio externo para las instrucciones de comportamiento es particularmente alarmante, ya que significa que la funcionalidad de la aplicación puede cambiar sin necesidad de ninguna actualización de firmware.

El problema ha sido confirmado en el Motorola Razr 60 Ultra, un dispositivo insignia que se vende aproximadamente a 1.300 $. Aún no está claro si este comportamiento se extiende a otros modelos de Motorola o variantes regionales.

El dominio devicenative[.]com sugiere que podría estar involucrado un SDK de monetización de terceros o un socio de afiliación, en lugar de que la ingeniería de Motorola lo haya diseñado directamente, aunque esa distinción no reduce la responsabilidad de Motorola por incluir dicho software.

Motorola no ha emitido ninguna declaración oficial hasta el momento de la publicación. El informe de 9to5Google del 25 de mayo de 2026 dio mayor visibilidad a estos hallazgos.