Explotación de vulnerabilidades en Android sin permisos diciembre 26, 2011

En el momento que se detecta una vulnerabilidad en un sistema operativo, esta puede ser utilizada por un atacante para realizar una acción maliciosa en el sistema. En esta oportunidad Thomas Cannon, investigador de viaForensics ha reportado [reporte PDF] que es posible que una aplicación de Android puede instalar un backdoor en un dispositivo móvil sin contar con permisos. Este exploit afecta desde la versión 1.5 a la versión 4.0 del sistema operativo de Google.

En su reporte, el cual acompaña de un video, Thomas resalta que al utilizar un componente público desde una aplicación que si cuenta con permisos para el acceso a Internet y a almacenar contenido dentro de la memoria extraíble del dispositivo, es posible para un atacante obtener una consola remota. A través de esta consola se puede acceder al sistema de archivos y ejecutar comandos de manera remota. Por lo tanto una aplicación que no cuente con permisos dentro del sistema puede vulnerar la seguridad del sistema.


Para lograr eludir la seguridad del sistema, este enfoque se basa en la utilización de recursos públicos que algunas aplicaciones dejan disponibles. Esta falla se puede dar en el momento del desarrollo de una aplicación en la cual quién la desarrolló no definió correctamente los atributos de privacidad de algún componente, uno de los ocho concejos para desarrolladores de Android que compartimos con ustedes hace un tiempo.

Además de ser una vulnerabilidad que afecta a todas las versiones del sistema operativo de Google, una aplicación especialmente diseñada puede instalar un backdoor en un dispositivo con Android sin la necesidad de requerir ningún permiso ni escalar privilegios mediante un exploit que le otorgue permisos de administrador al atacante. Estas técnicas mencionadas anteriormente han sido utilizadas por algunos códigos maliciosos anteriormente como así también aquellas aplicaciones que solicitan más privilegios de los que realmente necesitan.

Los herramientas de seguridad que se ponen a disposición de los desarrolladores deben ser tenidas en cuenta al momento de diseñar y crear una aplicación. Al dejar de lado las buenas prácticas de programación se puede exponer la información del usuario además de comprometer el equipo.

Fuente: ESET Latinoamérica