DeepNude APK: qué traen en realidad los archivos que circulan

Android no instala nada sin firma: su documentación oficial establece que todos los APK deben estar firmados digitalmente con un certificado antes de instalarse, y ese certificado lleva los datos de quien tiene la llave privada. La exigencia técnica se cumple siempre; la identidad, casi nunca: estos paquetes vienen con certificados autogenerados, con nombre de prueba o con campos vacíos, porque cualquiera crea uno en un minuto.

Eso tiene una consecuencia que aparece con el segundo archivo. Para Android, dos paquetes con el mismo nombre y llaves distintas son programas ajenos entre sí: no se actualiza uno con el otro y hay que desinstalar antes, con lo que se pierde lo que el anterior tuviera guardado. Cuando una página pide «quitar la versión vieja» para poner la nueva, no está publicando una actualización, está cambiando de emisor sin decirlo.

Un modelo generativo de imagen ocupa varios gigabytes y necesita una tarjeta gráfica. Un paquete de ocho o veinte megabytes no lo lleva adentro: lleva una interfaz y una dirección de servidor. Por eso queda inservible sin conexión y por eso la fotografía sale del teléfono, aunque el nombre sugiera lo contrario.

El tamaño explica también por qué dos copias idénticas por fuera se comportan distinto: lo que cambia no es el programa, es la dirección a la que apunta. Ese servidor puede mudarse, cerrar o cambiar de dueño sin que el archivo se entere, y por eso una compilación que respondía hace unos meses deja de hacerlo sin que nadie la haya tocado. Lo que se instala no es una herramienta, es un acceso, y el interruptor lo tiene otro.

El dominio desde el que se descarga dura semanas, cambia de nombre y reaparece. La distribución ocurre en foros, comentarios y grupos cerrados, los mismos espacios donde viven los bots que se reparten en los mismos canales. Detrás de un acortador o de un «desbloqueo» ya no hay autor identificable, sino una cadena de intermediarios que cobran por el clic.

Esa rotación tiene un efecto que conviene entender antes de ponerse a buscar «otra fuente»: no hay manera de comparar dos copias. Sin un autor que publique una versión de referencia, el archivo que baja hoy de un espejo y el que bajó alguien el mes pasado pueden ser programas distintos con el mismo nombre y el mismo icono. Por eso el consejo de bajarlo «de un sitio confiable» se queda sin contenido: falta la pieza contra la cual comparar.

No es un trámite pendiente ni una baja temporal. La política de contenido inapropiado de Google Play no permite aplicaciones que incluyan o promuevan contenido sexual o pornografía, y una aplicación cuyo propósito es ese no se publica ahí. La puerta oficial está cerrada de origen, no cerrada para este archivo en particular.

Por eso todo el reparto ocurre por fuera, y por eso nunca vas a llegar a estos paquetes desde una ficha con historial de versiones, tamaño declarado, desarrollador con cuenta verificada y un botón de reporte que llega a alguien. Siempre llegas por un enlace que alguien te pasó. La ausencia de tienda no es un detalle de distribución: es la condición que hace posible todo lo demás de esta página. El reverso —las cáscaras que sí llegan a la tienda usando el término— aparece en el mapa de los cinco formatos que usan ese nombre.

Android bloquea por su cuenta ciertos ajustes cuando la aplicación no vino de una tienda: son los ajustes restringidos documentados por Google, pensados para que accesibilidad y funciones equivalentes no se activen de un toque. Cuando una aplicación te guía paso a paso para desactivar esa protección, ya te dijo qué necesita para funcionar.

Conviene separar dos avisos que se parecen. El primero aparece al instalar algo que no viene de una tienda y solo informa que el sistema no revisó ese archivo. El segundo aparece cuando la aplicación pide accesibilidad o una función equivalente, y ese no es un trámite: Android lo restringe porque esos permisos dejan leer la pantalla y tocar en tu lugar. Saltarse el primero es asumir un riesgo; saltarse el segundo es entregar el control del teléfono.

Una aplicación instalada a mano no tiene canal de actualización. Nadie le manda correcciones, el sistema no la vuelve a revisar y, si el paquete trae una biblioteca vieja con una falla ya conocida, esa falla se queda adentro mientras el archivo viva en el teléfono. No hay aviso que te lo diga, porque no hay nadie del otro lado que lo publique.

Súmalo al permiso de arranque automático de la lista de arriba y el resultado se describe solo: un programa que se enciende con el teléfono, no muestra interfaz y no recibe correcciones. Una aplicación legítima que también arranca sola se diferencia en tres cosas: tiene versión, tiene responsable y tiene un lugar donde se le quita el permiso de un toque.