O IBM X-Force, time de pesquisadores em segurança da IBM, divulgou um relatório que aponta que mais da metade dos dispositivos que rodam nas versões Android 4.3 a 5.1 apresentam altas vulnerabilidades de segurança. A nova falha descoberta foi reconhecida como CVE-2015-3825.
A pesquisa, denominada “One Class to Rule Them All”, na tradução livre, “Uma classe para dominar todas”, aborda os riscos encontrados pelo time X-Force a partir de uma única classe de vulnerabilidade encontrada no Android, a OpenSSLX509Certificate. Esta brecha era suficiente para que hackers assumissem o controle de várias funcionalidades dos dispositivos Android e pudessem acessar dados da câmera fotográfica e arquivos importantes do usuário. Em resumo, estes ataques avançados poderiam explorar os códigos maliciosos adicionados pelos hackers e criar um “app malicioso”, ou seja, um super app que ajudaria os cibercriminosos a dominarem de vez o dispositivo.
“Eles tiram vantagens de uma série de ‘classes’ dentro dos sistemas Android e SDKs (Android Software Development Kits), permitindo acesso, por exemplo, à câmera do smartphone, além de conseguirem repor códigos de apps, infiltrar-se em dados e autorizar comandos e acessos a informações confidenciais e pessoais do dono do smartphone”, esclarece André Pinheiro, líder de Segurança da IBM Brasil.
Além da vulnerabilidade na plataforma Android, o time da IBM ainda encontrou fragilidades em Kits de Desenvolvimento de Software de terceiros (SDKs), que permitem a execução de códigos arbitrários que podem roubar informações confidenciais do aplicativo atacado.
Pinheiro explica que para encontrarem as classes de vulnerabilidades foram analisados cerca de 32 mil aplicativos Android mais populares. “Uma vulnerabilidade SDK pode afetar dezenas de aplicativos e seus desenvolvedores podem levar meses para atualizá-los, exatamente, por não saberem dessas fragilidades no sistema”, conclui.
Não é nenhum segredo que os invasores estão se aproveitando do grande aumento na adoção de smartphones para roubar dados e informações sensíveis dos usuários. Há menos de uma semana, uma falha conhecida como Stagefright afetou 95% de todos os dispositivos que rodam em Android nas versões 2.2 Froyo ao 5.1 Lollipop. Esta brecha permite que o invasor tenha controle sob um smartphone a partir do envio de qualquer mensagem via MMS. A descoberta foi reconhecida como uma das piores vulnerabilidades da história da plataforma Android.
