Un análisis de Mysterium VPN ha expuesto que dos aplicaciones populares en las tiendas europeas, eSIM Plus y Nicegram, esconden código bielorruso y enrutan datos a Rusia.
Presentadas como productos lituanos con más de 50 millones de descargas combinadas, el escrutinio de sus paquetes binarios revela que están firmadas criptográficamente por una empresa en Minsk y que integran servicios de telefonía y analíticas rusas sin que el usuario lo sepa. Le adelanto que lo que ha quedado al descubierto es una lección de cómo la confianza en las etiquetas de las tiendas puede ser un disfraz perfecto para el espionaje silencioso.
La firma bielorrusa y el SDK ruso: el rastro que no se puede ocultar
El trabajo de los investigadores de Mysterium VPN, que sigo de cerca desde hace años, fue directamente a los binarios de las versiones 4.4.26 de eSIM Plus y 1.55.0 de Nicegram. El hallazgo más demoledor es el certificado de firma: el paquete de eSIM Plus está firmado por «Mobyrix, Minsk», con el código postal 220020 de la capital bielorrusa, a pesar de que la aplicación se comercializa bajo la marca lituana «Appvillis». Ese dato no es una inferencia: aparece directamente en el certificado criptográfico. La realidad es Belarus, no Lituania.
A ese anclaje bielorruso se suman dos integraciones rusas que están vivas y operativas. Yandex AppMetrica, el SDK de analíticas de Yandex, aparece con unas 2.900 referencias en el código; se comunica con la infraestructura de Yandex nada más arrancar la app y envía eventos a appmetrica.io, obteniendo además la IP del cliente del lado del servidor y recopilando la ubicación. Junto a él, el SDK de Voximplant —con aproximadamente 1.700 referencias— enruta las llamadas de voz del usuario a través de un endpoint ruso: balancer.root.voximplant.ru, bajo la cuenta appvillis.n8.voximplant.com. Dicho de otra forma: una llamada hecha con eSIM Plus viaja por infraestructura rusa sin que la ficha de la tienda lo mencione en ningún sitio.
La superficie de recolección de datos de eSIM Plus es, además, inusualmente amplia incluso para los estándares de las aplicaciones gratuitas. Solicita 35 permisos, entre ellos ubicación fina y gruesa, contactos, cámara, micrófono y telefonía. Sobre AppMetrica, el análisis encontró Mixpanel, Segment, Customer.io, AppsFlyer, Facebook SDK, Firebase y Qonversion, más SDK de pagos y un segundo proveedor de telefonía. Usted, como usuario, no vio nada de esto al instalarla.
Nicegram: el hermano gemelo sin el enrutamiento directo, pero con una billetera cripto y un ‘Ojo de Dios’
El informe de Mysterium es igualmente claro con Nicegram: comparte la misma base de código de Appvillis y el mismo backend, pero en la versión examinada no aparecen los SDK rusos de Yandex AppMetrica ni Voximplant, ni dominios .by o cadenas de Mobyrix. Las únicas conexiones a Rusia que se detectaron son a static-maps.yandex.ru (un proveedor de mapas heredado del Telegram original) y a coub.com (servicio de incrustación multimedia), ambas benignas y sin función de telemetría. El riesgo en Nicegram no es el enrutamiento directo, sino el perfilado masivo y su caja de herramientas adicional.
Nicegram declara 73 permisos, incluyendo ubicación en segundo plano, cámara e identidad del teléfono. Además, incorpora una billetera cripto no custodiada que maneja frases semilla y un módulo que los investigadores llaman «God’s Eye»: un sistema que perfila los patrones de actividad de los usuarios de Telegram enviando datos de canales y sesiones a los servidores de Nicegram. En otras palabras, convierte el uso de Telegram en una fuente de inteligencia sobre usted.
Me consta, por fuentes del sector, que este tipo de arquitectura recuerda a las técnicas de recolección que, en 2015, analicé en El quinto elemento, cuando advertí que «el próximo 11S empezará con un clic». Una app con estas capacidades, instalada en un dispositivo sin que el usuario conozca su verdadera procedencia, es un vector ideal para el espionaje de Estado o para el cibercrimen organizado.
Lo que revela este análisis es una lección dura: la bandera lituana en la tienda no es más que un disfraz, y la confianza se construyó sobre una mentira que solo el código puede desenmascarar.
Dossier Moncloa: Ojos en la Sombra
La noticia no es solo técnica: es una fisura grave en la arquitectura de confianza de las tiendas de aplicaciones europeas. Lo veo así porque el vector es claro: una app presentada como lituana, con más de un millón de descargas en eSIM Plus y más de 50 millones en Nicegram, logra colarse sin que nadie haya revisado el certificado de firma ni las conexiones de red en el momento de la publicación.
El vector de amenaza es una infiltración mediante código camuflado en aplicaciones de consumo masivo, que combina la falsedad del origen declarado con la captura silenciosa de metadatos y el enrutamiento de comunicaciones hacia infraestructura rusa. No hay ataque activo, pero sí una exfiltración continua de ubicación, identificadores y patrones de uso. En términos técnicos, hablamos de una operación de inteligencia de señales (SIGINT) pasiva a través de un vector de confianza roto.
Las agencias implicadas son, por un lado, la propia Appvillis y su entramado —con Mobyrix en Minsk como brazo ejecutor— y, del otro, los servicios rusos de Yandex y Voximplant que reciben los datos; aunque la atribución estatal directa no está confirmada, la combinación de una firma bielorrusa y SDK dirigidos a nodos rusos dibuja un ecosistema que sirve a intereses de inteligencia del eje Moscú-Minsk. Del lado defensivo, los usuarios europeos y las propias tiendas de aplicaciones son quienes han sido vulnerados sin saberlo. En España, el Centro Criptológico Nacional (CCN-CERT) y el CNI deben monitorizar este tipo de aplicaciones, sobre todo cuando nuestro país alberga más de 8.000 infraestructuras críticas que podrían ser objetivo de un salto desde el dispositivo personal hacia redes corporativas.
Desde mi experiencia, el nivel de clasificación estimado del material que manejan estas apps sería, como mínimo, “Sin Clasificar pero Sensible”, pero el daño potencial lo eleva a la categoría de información confidencial para cualquier Estado. El precedente histórico más próximo es el de FinFisher o el spyware Pegasus, que también se ocultaban tras fachadas legítimas. Pero aquí no hace falta un zero-day: basta con que el usuario descargue la app y la use normalmente. La lección es que las tiendas no verifican a fondo estas capas ocultas, y la carga de la prueba recae sobre un puñado de investigadores independientes.
Me preocupa, y se lo digo a usted lector, que en España no exista un mecanismo ágil para que los ciudadanos puedan saber si una app con estas características está operando en sus teléfonos. Por eso, insto a la comunidad de seguridad a que el próximo informe de transparencia de las tiendas incluya al menos la verificación de los certificados de firma y los dominios de backend. La próxima cita clave será la publicación del informe anual del CCN-CERT sobre ciberamenazas, donde este tipo de vectores debería ocupar un capítulo propio.
