Root y hooking
Protección contra root y hooking
Cómo se usan los dispositivos con root y los frameworks de hooking contra las apps que mueven dinero, y qué puede hacer una app.
Respuesta corta
El root da control total del sistema operativo; los frameworks de hooking como Frida y Xposed reescriben lo que hace una app mientras se ejecuta. Para protegerse de ambos, la app combina varias detecciones (rastros de root, instrumentación, funciones con hook, código modificado), decide la respuesta por política y confirma las acciones sensibles en el servidor.
Qué cambia el root
En un dispositivo con root, las protecciones del sistema operativo dejan de valer: otras apps y herramientas pueden leer los archivos y la memoria de tu app y cambiar su comportamiento. Muchos usuarios avanzados rootean su teléfono por motivos legítimos, así que el root es una señal, no un veredicto.
Qué hace el hooking
Un framework de hooking intercepta funciones dentro de tu proceso: puede hacer que una comprobación devuelva verdadero, leer un token antes de cifrarlo o cambiar el destino de una transferencia. Funciona en dispositivos con root y, con un gadget inyectado, en copias reempaquetadas de la app.
Cómo responder
Detecta varias señales, no una. Empieza registrando, luego avisa o pide una autenticación adicional, y bloquea solo las acciones que importan, como los pagos. Mantén la decisión en una política revisada y confirma las acciones sensibles con un veredicto que el servidor pueda comprobar.
Qué dicen las fuentes
Frida se describe como un kit de instrumentación dinámica de código, la capacidad que se usa para hacer hook a funciones de una app en ejecución.
Fuente · comprobado el
OWASP MASVS-RESILIENCE-2 pide que la app implemente mecanismos contra la manipulación.
Fuente · comprobado el
El veredicto de dispositivo de Play Integrity indica si el dispositivo cumple la integridad básica, de dispositivo o fuerte, lo que ayuda al servidor a juzgar el entorno.
Fuente · comprobado el
Qué hace Moatgator
Runtime detecta indicios de root y jailbreak, Frida server y gadget, Xposed y frameworks similares, y funciones del sistema con hook.
Fuente · comprobado el
Cada detección tiene su propia respuesta en moatgator.yml, y todas empiezan en modo monitorización.
Fuente · comprobado el
Attest parte de Play Integrity y añade las señales de runtime de Moatgator en un único veredicto que tu backend verifica.
Fuente · comprobado el
Dónde termina
Detectar root y hooking es una carrera: las herramientas cambian y algunas se esconden de las comprobaciones. Ninguna detección es perfecta, por eso Runtime combina varias señales y trabaja junto con Shield y con la verificación en el servidor.
Preguntas frecuentes
¿Debo bloquear todos los dispositivos con root?
Normalmente no. El root es una señal; muchos usuarios rootean por motivos legítimos. Bloquea las acciones sensibles, no toda la app, y mira primero los datos.
¿Se puede detectar Frida?
Frida server, el gadget y las funciones con hook dejan rastros que la app puede detectar. Ninguna de estas comprobaciones es perfecta sola, así que combina varias.
¿Y Magisk ocultando el root?
Las herramientas que ocultan el root anulan las comprobaciones simples. Combina las señales del dispositivo con un veredicto comprobado en el servidor, como Play Integrity, que el dispositivo no puede falsificar sin más.
¿La detección ralentiza la app?
Las comprobaciones tienen algún coste. Mídelo en tu app y elige qué detecciones ejecutar y con qué frecuencia.
Mira en qué punto está tu app
Sube un APK, AAB o IPA al Scan gratuito y obtén una nota, sin cuenta.