Underc0de - La Casa de los Informáticos

Han salido a la luz nuevos detalles sobre una vulnerabilidad de seguridad —ya corregida— en el kit de desarrollo de software (SDK) de terceros EngageLab SDK, ampliamente utilizado en aplicaciones móviles, incluyendo monederos de criptomonedas. Este fallo representa un ejemplo claro del impacto que pueden tener las debilidades en la cadena de suministro de software, especialmente en entornos Android donde la confianza entre componentes es fundamental.

De acuerdo con investigadores de seguridad de Microsoft Defender, la vulnerabilidad permitía a aplicaciones maliciosas instaladas en el mismo dispositivo evadir el modelo de aislamiento de Android (sandbox) y acceder a datos privados sin autorización. Este tipo de fallo es particularmente crítico en aplicaciones que manejan activos digitales, credenciales o información financiera.

¿Qué es EngageLab SDK y por qué es relevante?

El EngageLab SDK es una biblioteca de terceros diseñada para proporcionar servicios de notificaciones push personalizadas. Su objetivo es mejorar la interacción en tiempo real con los usuarios mediante mensajes basados en comportamiento previamente rastreado.

Este SDK ha sido ampliamente adoptado por desarrolladores móviles debido a su facilidad de integración y capacidad para optimizar la retención de usuarios. Sin embargo, su integración masiva también amplificó el impacto de la vulnerabilidad detectada.

Según los datos revelados, más de 30 millones de instalaciones corresponden a aplicaciones de criptomonedas y monederos digitales, mientras que el número total de aplicaciones afectadas supera los 50 millones de descargas incluyendo otras categorías.

Detalles técnicos de la vulnerabilidad

El fallo fue identificado en la versión 4.5.4 del SDK y clasificado como una vulnerabilidad de redirección de intención (Intent Redirection), un problema conocido dentro del ecosistema Android.

En Android, las intenciones (Intents) son mecanismos de comunicación entre componentes de aplicaciones. Permiten solicitar acciones, como abrir una actividad o compartir datos. Sin embargo, cuando estas intenciones no están correctamente validadas, pueden ser manipuladas por actores maliciosos.

¿Cómo funciona el ataque?

La vulnerabilidad permite que una aplicación maliciosa:

• Intercepte o manipule una intención generada por una app vulnerable
• Aproveche los permisos del contexto de confianza
• Acceda a componentes internos protegidos
• Exfiltre datos sensibles o escale privilegios

En este caso específico, un atacante podría instalar una aplicación aparentemente inofensiva en el dispositivo de la víctima y utilizarla como punto de entrada para acceder a directorios internos de otras apps que integran el SDK vulnerable.

Impacto en wallets de criptomonedas

El riesgo es especialmente elevado en aplicaciones de criptomonedas debido a la naturaleza sensible de los datos que manejan, tales como:

• Claves privadas
• Frases semilla
• Tokens de autenticación
• Historial de transacciones

La explotación exitosa de esta vulnerabilidad podría haber permitido a los atacantes comprometer activos digitales de los usuarios, lo que convierte este fallo en una amenaza de alto impacto dentro del sector fintech.

Estado de la explotación

Hasta el momento, no existen evidencias públicas de explotación activa de esta vulnerabilidad en entornos reales. Sin embargo, los expertos en ciberseguridad advierten que la ausencia de pruebas no implica ausencia de ataques, especialmente en vulnerabilidades que pueden ser explotadas de forma silenciosa.

Corrección y respuesta de seguridad

Tras una divulgación responsable realizada en abril de 2025, EngageLab lanzó la versión 5.2.1 en noviembre de 2025, que corrige completamente la vulnerabilidad.

Adicionalmente:

• Las aplicaciones afectadas fueron eliminadas de Google Play Store
• Se instó a los desarrolladores a actualizar de inmediato
• Se reforzó la revisión de dependencias en la cadena de suministro

Riesgos en la cadena de suministro de software

Este incidente pone de manifiesto un problema creciente en el desarrollo moderno: la dependencia de SDKs de terceros.

Las aplicaciones actuales integran múltiples bibliotecas externas, lo que genera una cadena de suministro compleja y opaca, donde un solo fallo puede propagarse a millones de dispositivos.

Principales riesgos identificados:

• Dependencias no auditadas
• Permisos excesivos en SDKs
• Componentes exportados sin validación
• Supuestos de confianza incorrectos

Según Microsoft, estos riesgos son especialmente críticos en sectores de alto valor como las criptomonedas, donde los atacantes tienen incentivos económicos directos.

Recomendaciones para desarrolladores

Para mitigar este tipo de amenazas, se recomienda implementar las siguientes buenas prácticas:

1. Auditoría de dependencias

Revisar regularmente todos los SDKs y bibliotecas integradas en la aplicación.

2. Actualizaciones continuas

Mantener siempre las versiones más recientes de componentes de terceros.

3. Validación de Intents

Evitar confiar en datos externos sin validación estricta.

4. Principio de mínimo privilegio

Limitar permisos únicamente a los estrictamente necesarios.

5. Monitoreo de seguridad

Implementar soluciones de detección de amenazas en tiempo real.

En fin...

La vulnerabilidad en EngageLab SDK es un recordatorio contundente de que la seguridad de una aplicación no depende únicamente de su código interno, sino también de todos los componentes externos que la conforman.

En un ecosistema cada vez más interconectado, donde las aplicaciones dependen de múltiples servicios y bibliotecas, los fallos en la cadena de suministro pueden escalar rápidamente y afectar a millones de usuarios.

Para las empresas que operan en sectores críticos como el financiero o el de criptomonedas, la gestión proactiva de riesgos y la seguridad por diseño ya no son opcionales, sino esenciales para proteger tanto a los usuarios como a la reputación corporativa.

Fuente: https://thehackernews.com/