El mundo de antivirus

viernes, 27 de febrero de 2026

Seguramente muchos de nuestros lectores saben que la base del sistema operativo Android es un núcleo Linux sólido, optimizado para funcionar en dispositivos móviles. En el núcleo se implementan las funciones básicas del sistema operativo, como la administración de la memoria, de los procesos, de los recursos de hardware y, por supuesto, de la seguridad.

Esto no significa en absoluto que Android sea simplemente otra distribución de Linux, ya que la arquitectura multinivel del sistema, además del núcleo, incluye numerosos componentes que permiten el funcionamiento del dispositivo físico, regulan el trabajo de las aplicaciones y, en última instancia, determinan la experiencia del usuario.

No obstante, es precisamente del núcleo Linux de donde Android heredó una de las funciones de seguridad fundamentales de los sistemas tipo Unix: el mecanismo de administración de los permisos de acceso y la lógica del denominado acceso root (o permisos root).

En este artículo hablaremos de los permisos root en el contexto del funcionamiento de los programas antivirus en el sistema operativo Android, así como de las posibilidades y los riesgos asociados a ellos.

Qué son los permisos root y para qué sirven

En todos los sistemas operativos de uso general, incluidos Android, iOS, Linux, macOS y Windows, las aplicaciones se ejecutan en nombre de un usuario determinado y disponen de un conjunto definido de derechos o privilegios. Es lo que confirma uno de los principios básicos de la seguridad informática, conocido como el modelo de control de acceso. De este modo, el sistema controla a qué recursos —archivos, memoria, procesos, conexiones de red y componentes de hardware— puede acceder una aplicación. En esencia, se trata de un mecanismo de aislamiento y restricción que protege tanto al sistema operativo como a los datos frente a comportamientos erróneos o maliciosos de los programas, así como frente a las acciones del propio usuario.

Un ejemplo claro de aplicación de las restricciones más estrictas lo ofrece Apple en su sistema iOS, donde cada aplicación funciona dentro de una sandbox aislada y ni los programas ni el propio usuario pueden acceder a los componentes del sistema operativo (salvo en casos de explotación de vulnerabilidades).

Pero volvamos a Android. Los permisos root en Android representan un nivel especial de acceso al sistema operativo, equivalente a los privilegios de superusuario en los sistemas de la familia Linux. De forma predeterminada, el acceso root está desactivado y el sistema se configura para proporcionar un nivel de seguridad considerado suficiente: las aplicaciones se ejecutan en un entorno aislado con permisos limitados, y el mecanismo de permisos controla el acceso de los programas a los recursos y a los datos del dispositivo.

Cabe destacar que los procesos de sistema de confianza funcionan con privilegios elevados, incluido el acceso root, ya que de otro modo el sistema operativo no podría funcionar correctamente. Podría decirse que se trata de la «peculiaridad interna» de Android, a la que ni el usuario ni las aplicaciones de terceros tienen acceso. Sin embargo, a diferencia de iOS, donde este acceso está prácticamente bloqueado por completo, la arquitectura de Android ofrece al usuario y a las aplicaciones de terceros la posibilidad técnica de obtener permisos root y, con ello, el control total sobre el sistema operativo.

El acceso root se basa en el concepto de UID (User ID, identificador de usuario) procedente de Linux. Se trata de un identificador único en forma de valor numérico que, en Linux, se asigna a la cuenta de usuario y a los procesos que se ejecutan en su nombre. Aquí es importante señalar una diferencia arquitectónica fundamental entre el Linux tradicional multiusuario y el Android móvil.

En Android, el UID no se asigna a la cuenta del usuario, sino a una aplicación concreta (en este caso, la aplicación o el proceso puede considerarse una especie de “usuario lógico”). De este modo, es precisamente el UID el que se utiliza para aislar los programas y delimitar los derechos de acceso: todas las aplicaciones que no forman parte del sistema se ejecutan con UID restringidos, mediante los cuales el sistema controla su acceso a datos ajenos y a áreas del sistema.

Los permisos root eliminan este aislamiento. Que una aplicación arbitraria disponga de permisos root significa que su proceso se ejecuta con UID 0. El UID 0 corresponde al superusuario lógico, que tiene acceso ilimitado a todos los archivos, a otros procesos y a los recursos del sistema, ya que el núcleo del sistema operativo no impone ninguna restricción a los procesos que funcionan con este identificador. En la práctica, esto implica el máximo nivel de control sobre el dispositivo, que el usuario obtiene a través de aplicaciones ejecutadas con permisos root. Esto abre amplias posibilidades de personalización y control del sistema, y es una de las razones por las que muchos usuarios prefieren dispositivos basados en Android: los permisos root hacen que una arquitectura ya de por sí relativamente abierta sea aún más flexible y configurable.

Es importante comprender que un dispositivo rooteado no implica que todas las aplicaciones utilicen por defecto los privilegios de superusuario (UID 0). Lo que significa es que el usuario dispone de la posibilidad técnica de obtener acceso root en un momento determinado para realizar las acciones necesarias en el sistema. Por ello, incluso en un dispositivo con el acceso root activado, la mayoría de las aplicaciones de terceros siguen ejecutándose en su sandbox relativamente segura, con un UID único y limitado. Este mecanismo puede compararse con disponer de las llaves del funcionamiento interno del sistema operativo, que el usuario puede entregar manualmente a una u otra aplicación.

Brechas de seguridad previsibles

Seguramente Vds. ya se habrán dado cuenta de los riesgos que conlleva el uso irreflexivo de esta característica de arquitectura en Linux y Android. En nuestros artículos hablamos a menudo de problemas de seguridad relacionados con el trabajo en sistemas con privilegios elevados, ya sea Android, Windows o cualquier otro sistema operativo. Veamos algunos de los más evidentes.

Como ya hemos señalado, el aislamiento de las aplicaciones es un elemento básico de la seguridad. Una aplicación que obtiene acceso root es como si saliera de su jaula, y su funcionalidad deja de estar limitada por el sistema. Así, puede leer datos de otras aplicaciones, incluidos los datos del usuario, eliminar o modificar archivos del sistema, enviarlos a través de la red, instalar otros programas, cambiar la configuración del sistema operativo y mucho más. Si todas estas acciones se realizan a petición y bajo el control de un usuario con conocimientos, estamos ante un escenario. Si el usuario no está del todo seguro de lo que hace y/o la aplicación utilizada funciona de forma inestable, la situación es distinta y más peligrosa. Pero lo peor ocurre cuando un dispositivo de este tipo se convierte en objetivo de un atacante o de un programa malicioso.

El malware sofisticado intenta elevar sus privilegios en el sistema para ejecutar código arbitrario, es decir, para obtener el control total del dispositivo. En un sistema con el acceso root desactivado, esto solo es posible mediante la explotación de vulnerabilidades, lo que constituye un mecanismo bastante complejo. Para comprometer el sistema es necesario esquivar las protecciones del núcleo y los mecanismos de seguridad, al aprovechar algún fallo de software para salir de la sandbox. Un camino mucho más sencillo es atacar un smartphone rooteado y utilizar los permisos root ya existentes. Muy a menudo, este tipo de troyanos se camuflan como aplicaciones útiles y, a continuación, solicitan acceso root. Si el usuario pulsa «Permitir», el troyano obtiene el UID 0 y puede llevar a cabo acciones destructivas.

Es cierto que el uso de vulnerabilidades permite ataques más sigilosos, ya que la elevación de privilegios se produce en segundo plano y sin solicitar permiso al usuario. Sin embargo, se trata de un escenario menos frecuente que los ataques de troyanos basados en técnicas de ingeniería social, en los que todo comienza con el engaño y la falta de precaución del usuario. En este sentido, los titulares de dispositivos rooteados están expuestos a un riesgo considerablemente mayor.

La situación del malware en el sistema operativo Android se complica por una serie de factores adicionales, más allá de la explotación de los permisos root. En primer lugar, está la posibilidad de instalar aplicaciones de terceros a partir de archivos APK, cuya seguridad el usuario no puede verificar de ninguna manera. En segundo lugar, el software malicioso también se encuentra en catálogos oficiales de aplicaciones, como Google Play.

No hay que olvidar que un programa malicioso no necesita necesariamente permisos root para causar daños graves o robar datos. Por ejemplo, un troyano puede actuar a través del sistema de permisos de las aplicaciones, que se utiliza para el acceso compartido a recursos comunes del sistema tras la aprobación del usuario. Un ejemplo clásico es una aplicación linterna que solicita acceso a los contactos, a los SMS y al GPS, u otros recursos. En este caso, el troyano camuflado permanece dentro de las medidas de seguridad del sistema, ya que se encuentra en su propia sandbox y el acceso a los datos se lo ha concedido el propio usuario. Por desgracia, engañar a una persona suele ser mucho más fácil que obtener acceso root en dispositivos modernos y actualizados.

Esta diversidad de amenazas, unida al volumen de datos sensibles que almacenamos y procesamos en los dispositivos móviles, nos lleva a la necesidad de utilizar una protección antivirus de confianza.

Funcionamiento del antivirus en el contexto del acceso root

La opinión de Doctor Web es la siguiente: un antivirus debe funcionar de forma completa y eficaz en un dispositivo sin acceso root. La obtención de permisos root es una operación deliberadamente no estándar (aunque técnicamente prevista), y el usuario debe estar seguro de lo que hace y ser consciente de los riesgos y de las posibles consecuencias. Así, el antivirus Dr.Web para Android no solicita permisos root al usuario y, además, no garantiza oficialmente un funcionamiento estable en dispositivos rooteados. Por el contrario, el acceso root se considera una vulnerabilidad abierta del dispositivo, y esta postura ha quedado justificada anteriormente. No obstante, Dr.Web puede utilizar un acceso root ya existente para realizar comprobaciones más profundas.

Por ejemplo, si el acceso root está habilitado en el dispositivo, el usuario puede seleccionar para el escaneo las carpetas /sbin y /data, ubicadas en el directorio raíz. Estos directorios son áreas críticas del sistema en Android, por lo que un usuario normal o una aplicación estándar no pueden acceder a ellos sin permisos root, especialmente en las versiones más recientes del sistema operativo. Sin embargo, esto no significa que los beneficios de obtener acceso root superen los riesgos. En términos de seguridad, ocurre exactamente lo contrario. Dr.Web es capaz de proteger el sistema de forma eficaz incluso trabajando dentro de la sandbox y con los permisos necesarios que se le han concedido.

El monitor de archivos SpIDer Guard puede rastrear cambios en el área del sistema sin acceso root y notificar la eliminación, adición o modificación de archivos ejecutables. Esto es posible gracias a que el área del sistema está disponible en modo de solo lectura, lo cual es suficiente para realizar comprobaciones basadas en firmas y heurísticas. Además, el antivirus utiliza mecanismos estándar del sistema durante su funcionamiento, como el sistema de seguimiento de eventos del sistema de archivos, que permite a Dr.Web detectar cambios en los directorios del sistema. La limitación reside en que, sin acceso root, el antivirus no puede impedir modificaciones en áreas protegidas ni realizar cambios en ellas por sí mismo.

De esta forma, la ausencia de «root» hace que el dispositivo sea más seguro y que el funcionamiento del antivirus sea más sencillo. Este sigue protegiendo eficazmente el dispositivo frente a una gran variedad de amenazas, mientras que para el malware resulta extremadamente difícil salir del entorno aislado y volverse inaccesible para el antivirus. En presencia de permisos root, el antivirus puede obtener capacidades adicionales para neutralizar amenazas, pero capacidades comparables también pasan a estar al alcance de las propias amenazas. Al mismo tiempo, el dispositivo se vuelve mucho más vulnerable, no en último lugar debido a acciones imprudentes o al desconocimiento del propio usuario.