Investigadores de Group-IB han identificado una nueva versión del malware RedHook dirigida a dispositivos Android, capaz de tomar el control remoto del terminal a través de la función 'Wireless ADB' sin necesidad de acceso root. El ataque comienza con un SMS o una llamada que suplanta a un banco o a una agencia gubernamental e invita a la víctima a instalar una aplicación desde un sitio que imita a Google Play. Una vez instalada, la app solicita permisos de accesibilidad y activa de forma silenciosa las opciones de desarrollador y la depuración inalámbrica, emparejándose después con el teléfono mediante un código mostrado en pantalla para obtener privilegios de shell.
Con esos privilegios, los ciberdelincuentes disponen de 53 comandos que permiten ver la pantalla en directo, realizar capturas, simular toques y deslizamientos, bloquear o desbloquear el dispositivo, instalar y eliminar aplicaciones sin aviso, leer mensajes, activar la cámara y reiniciar el terminal. La última variante recurre además a la herramienta legítima para desarrolladores Shizuku para ejecutar comandos en segundo plano. Para mantener la persistencia, RedHook levanta dos servicios que se reactivan mutuamente y ajusta su prioridad en el sistema para evitar su desinstalación. Group-IB recomienda descargar apps solo desde Google Play, revisar los permisos de accesibilidad solicitados y mantener activo Play Protect.