Una nueva vulnerabilidad en Android destapa otro gran riesgo para sus usuarios
Android es el sistema operativo móvil más popular del mundo. Casi el 80% de los smartphones del mundo lo ejecutan, y según hemos podido leer en NPR los expertos de la firma especialista en seguridad Zimperium han descubierto otro enorme agujero de seguridad en el sistema. Otro exploit que se une a otros como el bug MasterKey --que ya está solucionado-- o la vulnerabilidad descubierta en el Centro de Actualizaciones de los smartphones LG.
En este caso, la vulnerabilidad descubierta por Zimperium permitiría a los hackers entrar en cualquier smartphone y apoderarse de su información con sólo conocer el número de telefono. Lo que da más miedo todavía es que lo que los atacantes necesitarían como credencial de acceso sólo sea el número de teléfono, y asusta más saber que el ataque podría producirse de forma totalmente silenciosa.
El ataque usaría un fallo de Hangouts
Según los investigadores de Zimperium, la infección se produciría antes incluso de escuchar el sonido de notificación de un nuevo mensaje. No es necesario abrir un archivo corrupto o entrar en una web a través de un enlace manipulado, puede ser totalmente opaco al usuario, y podrías estar infectado sin ver absolutamente nada.
El descubrimiento lo ha realizado Joshua Drake, uno de los investigadores de Zimperium, en su propio laboratorio, y hasta ha detallado una hipotética línea de ataque: Un hacker malicioso crearía un vídeo corto, escondería el malware en su interior y te lo mandaría a tu número de teléfono a través de un mensaje corto. Tan pronto como lo recibas el malware llevaría a cabo sus procesos iniciales, lo que abriría la ventana de ataque a través de la vulnerabilidad.
La vulnerabilidad se aprovecha de un fallo de Google Hangouts, la aplicación de mensajería instantánea de Google que la propia empresa ya ha reconocido que no es segura. Segú Drake Hangouts mueve todos los vídeos recibidos a la galería para evitar que el usuario tenga que buscarlos, de forma que si es la app de SMS por defecto con eso bastaría para infectarte. No tienes que reproducir el vídeo, buscarlo ni absolutamente nada: Sólo con recibirlo ya es suficiente.
Si en lugar de Hangouts estás usando la aplicación de mensajería del teléfono tienes algo menos de riesgo, pero muy poco. Tendrías que ver el mensaje antes de que procese el vídeo que se envía con él, pero en cualquier caso no requiere que el usuario objetivo reproduzca el vídeo adjunto.
Dicho de otra manera, una vez que los atacantes estén dentro podrán hacer lo que quieran: Copiar y borrar datos, controlar tu micrófono y tu cámara o monitorizar cada palabra que digas o cada movimiento que hagas. Según Drake, lo que puedan hacer está sujeto sólo a su imaginación.
Hay una solución... En teoría
De acuerdo con los chicos de Zimperium este set de vulnerabilidades afecta a casi todos los Android activos desde la versión 2.2 a la 5.1.1, y según ha dicho Joshua Drake le resulta increíble que los hackers no lo estén explotando aún. Drake envió sus descubrimientos a Google, que fabrica el sistema operativo como todos ya sabemos, y hasta envió parches a Mountain View.
En 48 horas después después de haber enviado estos parches a Google la empresa los había aceptado, pero hay que tener en cuenta una cosa: Según Joshua Drake sólo el 20% de los smartpones activos actualmente tendrán una solución, aunque Drake asegura que potencialmente podría llegar al 50%.
Lo que es complicado es conseguir que todos los fabricantes de Android implementen los parches. Esa sería la teórica solución, pero teniendo en cuenta lo complicado que es ahora que lleguen las actualizaciones a los distintos terminales o asistimos a un cambio radical de políticas, o no las veremos en muchos terminales no Nexus. Sin embargo, este debate es para otros blogs.
En cualquier caso, si no se soluciona este problema hay quien podría pensar que va a haber un tremendo éxodo de usuarios a otras plataformas. Está claro que ser el más usado del mundo te expone a riesgos y ataques de todo tipo, pero que el propio desarrollador no revise la seguridad es grave, máxime cuando se trata de algo tan evidente como lo de Hangouts.