Vídeo: Among Us Crewstor Moments (Setembre 2024)
Una vulnerabilitat en el sistema operatiu d’Android permet als atacants prendre una aplicació existent, injectar codi maliciós i tornar a empaquetar-la de manera que pugui semblar que sigui l’aplicació original. Hauria d’estar preocupat?
Els investigadors de Bluebox Security van trobar el defecte en la verificació de les signatures criptogràfiques per a les aplicacions, Jeff Forristal, CTO de Bluebox, va escriure al blog de la companyia el 3 de juliol. Això significa que els atacants podrien modificar l'aplicació sense canviar la seva signatura criptogràfica, va dir Forristal.
El defecte ha existit des de Android 1.6 ("Donut") i ha fet que el "99 per cent" dels dispositius, o "qualsevol telèfon Android llançat en els darrers quatre anys" sigui vulnerable a l'atac, va afirmar Forristal.
L’escenari espantós passa com una altra cosa: una aplicació legítima (per exemple, una aplicació de Google) es modifica per robar contrasenyes o connectar el dispositiu a una botnet i alliberar-la perquè els usuaris la puguin descarregar. Atès que ambdues aplicacions tenen la mateixa firma digital, serà difícil que els usuaris sàpiguen quina és real i quina és falsa.
Bé, realment no.
Estic en perill?
Google ha actualitzat Google Play perquè hi hagi comprovacions a fi de bloquejar qualsevol aplicació maliciosa que utilitza aquest exploit per mascaritzar com alguna altra aplicació.
Si instal·leu aplicacions i actualitzacions de Google Play, no teniu el risc d'aquesta explotació, ja que Google ha fet mesures per assegurar el mercat de les aplicacions. Si descarregueu aplicacions de mercats de tercers, fins i tot semioficials com ara les botigues d’aplicacions Samsung i Amazon, aleshores esteu en risc. De moment, pot valer la pena seguir sense utilitzar aquests mercats.
Google recomana als usuaris mantenir-se al marge dels mercats d’aplicacions Android de tercers.
Què puc fer?
També és important recordar que sempre heu de mirar qui és el desenvolupador. Tot i que una aplicació trojanitzada ho faci a través de Google Play, o si sou a una botiga d’aplicacions diferent, l’aplicació no es mostrarà a la llista de desenvolupadors original. Per exemple, si els atacants reembalen Angry Birds mitjançant aquesta vulnerabilitat, la nova versió no es classificaria al compte de Rovio.
Si voleu assegurar-vos que no podeu instal·lar aplicacions de fonts de tercers, aneu a Configuració> Seguretat i assegureu-vos que no estigui marcada la casella de selecció per a instal·lar aplicacions de "fonts desconegudes".
Si teniu la darrera versió d’Android, aleshores també esteu protegit pel sistema integrat d’exploració d’aplicacions ja que escaneja les aplicacions procedents de fonts diferents de Google Play. Això vol dir que, fins i tot si instal·leu erròniament una aplicació dolenta, el vostre telèfon encara podria bloquejar el codi maliciós.
També hi ha aplicacions de seguretat per a Android que poden detectar un comportament maliciós i que us avisaran sobre l’aplicació infractora. PCMag recomana la seguretat dels nostres editors “Bitdefender Mobile Security”.
És probable un atac?
"Només perquè la" clau mestra "encara no s'ha explotat, no vol dir que ens podem recolzar en els nostres llorers", va dir a SecurityWatch Grayson Milbourne, director d'intel·ligència de seguretat de Webroot. La seguretat mòbil hauria de tractar de protegir el dispositiu de totes bandes: protecció de la identitat per protegir contrasenyes i altra informació personal, bloquejar programari maliciós i aplicacions malicioses i poder trobar el dispositiu en cas de pèrdua o robatori, va dir Milbourne.
Bluebox va comunicar el defecte a Google el febrer i Google ja va llançar un pegat als seus socis de maquinari de l'Open Handset Alliance. Diversos fabricants de telèfons ja han llançat pegats per solucionar el problema. Els operadors han de reduir la correcció cap als usuaris finals.
"Correspon als fabricants de dispositius produir i publicar actualitzacions de firmware per a dispositius mòbils (i, a més, que els usuaris instal·lin aquestes actualitzacions)", va dir Forristal. Bluebox té previst revelar més detalls durant la conferència de Black Hat a Las Vegas a finals d’aquest mes.
Pau Oliva Fora, enginyer amb l'empresa de seguretat mòbil viaForensics, va publicar una prova del concepte que explota la vulnerabilitat el github el 8 de juliol. Fora va crear el guió de shell després de llegir els detalls de l'error publicat per l'equip de Cyanogenmod. Cyanogenmod és una versió popular d'Android que els usuaris poden instal·lar als seus dispositius. L’equip ja ha pegat el defecte.
Si sou dels pocs afortunats usuaris que reben una actualització d'Android per part del vostre operador, assegureu-vos de baixar-lo i instal·lar-lo immediatament. Tot i que els riscos són baixos, actualitzar el sistema operatiu és un bon sentit per a la seguretat.
