Fallo de seguridad en Android podría facilitar robo de datos bancarios (#bh)
¿Hasta qué punto es seguro introducir datos bancarios desde Android? Un reciente estudio ha descubierto que un fallo en el diseño del sistema operativo de Google para dispositivos móviles podría ser utilizado por estafadores para robar este tipo de datos de los usuarios.
Un grupo de investigadores ha advertido de los riesgos de sufrir phising utilizando terminales con Android. El informe señala que los desarrolladores pueden crear aplicaciones en apariencia inofensivas pero que pueden mostrar un falso acceso a nuestra cuenta bancaria cuando pretendamos acceder a ella desde el dispositivo móvil.
Sean Schulte y Nicholas Percoco revelaron en Defcon una falla de diseño Android que podría ser utilizada para robar datos vía ataques de phishing o para realizar promociones ilegales.
Los desarrolladores pueden crear aplicaciones que parecen ser inofensivas, pero que puede mostrar una página de inicio de sesión de la aplicación de un banco, por ejemplo.
En la actualidad, las aplicaciones que desean comunicarse con el usuario, mientras otra aplicación se está ejecutando, simplemente deben enviar un aviso a la barra de notificación en la parte superior de la pantalla.
Desde la firma Trustwave se explicó cómo los desarrolladores pueden crear aplicaciones que lancen estas pantallas falsas. Aunque las aplicaciones que funcionan en segundo plano envían mensajes de notificación mediante la barra superior, también es posible que estas pasen a estar en primer plano. Esto resulta útil, por ejemplo, para enviar una imagen de nuestro terminal a redes sociales, pero también permite que una aplicación maliciosa reemplace la herramienta que ofrece nuestro banco para hacer transacciones desde el móvil o para acceder a nuestra cuenta. A este problema los investigadors han llamado Focus Stealing Vulnerability.
Los investigadores han creado una herramienta de prueba de concepto que es un juego, pero también muestra una falsa aplicación de Facebook, Amazon, Google Voice, y el cliente de correo de Google. La herramienta se instala como parte de una aplicación legítima y se registra como un servicio por lo que vuelve a levantar después de reiniciar el teléfono.
La pantalla falsa se mostraba ante el usuario sin que éste tuviese tiempo para darse cuenta del cambio en lugar de la pantalla legítima. Asimismo, también se permitiría modificar las acciones del botón de retroceso de modo que el usuario no pueda salir de la aplicación maliciosa o detectar lo que realmente está sucediendo en su móvil.
Asimismo, el fallo en el diseño permite que se abran múltiples y molestos pop ups con publicidades programados para aparecer, por ejemplo, al iniciarse determinadas aplicaciones. Google ya conoce el fallo e intenta buscar una solución que repare este problema en el diseño. Igualmente, se ha comprometido a eliminar del Android Market toda aplicación con estas características. Eso sí, sólo podrá hacerla siempre que se reciban reportes de usuarios afectados.
Así pues, una nueva prueba de cómo el aumento en la popularidad de la plataforma de Google está convirtiéndola en uno de los objetivos de desarrolladores de aplicaciones maliciosas. A este peligro potencial de phishing tenemos que unir los conocidos virus y troyanos que ya circulan para Android y que comprometen la información personal del usuario. De este modo, seguimos recomendando las máximas precauciones a la hora de instalar aplicaciones e introducir datos personales y bancarios desde nuestro terminal móvil.
Fuente: ADSL Zone y CNET
Un grupo de investigadores ha advertido de los riesgos de sufrir phising utilizando terminales con Android. El informe señala que los desarrolladores pueden crear aplicaciones en apariencia inofensivas pero que pueden mostrar un falso acceso a nuestra cuenta bancaria cuando pretendamos acceder a ella desde el dispositivo móvil.
Sean Schulte y Nicholas Percoco revelaron en Defcon una falla de diseño Android que podría ser utilizada para robar datos vía ataques de phishing o para realizar promociones ilegales.
Los desarrolladores pueden crear aplicaciones que parecen ser inofensivas, pero que puede mostrar una página de inicio de sesión de la aplicación de un banco, por ejemplo.
En la actualidad, las aplicaciones que desean comunicarse con el usuario, mientras otra aplicación se está ejecutando, simplemente deben enviar un aviso a la barra de notificación en la parte superior de la pantalla.
Desde la firma Trustwave se explicó cómo los desarrolladores pueden crear aplicaciones que lancen estas pantallas falsas. Aunque las aplicaciones que funcionan en segundo plano envían mensajes de notificación mediante la barra superior, también es posible que estas pasen a estar en primer plano. Esto resulta útil, por ejemplo, para enviar una imagen de nuestro terminal a redes sociales, pero también permite que una aplicación maliciosa reemplace la herramienta que ofrece nuestro banco para hacer transacciones desde el móvil o para acceder a nuestra cuenta. A este problema los investigadors han llamado Focus Stealing Vulnerability.
Los investigadores han creado una herramienta de prueba de concepto que es un juego, pero también muestra una falsa aplicación de Facebook, Amazon, Google Voice, y el cliente de correo de Google. La herramienta se instala como parte de una aplicación legítima y se registra como un servicio por lo que vuelve a levantar después de reiniciar el teléfono.
La pantalla falsa se mostraba ante el usuario sin que éste tuviese tiempo para darse cuenta del cambio en lugar de la pantalla legítima. Asimismo, también se permitiría modificar las acciones del botón de retroceso de modo que el usuario no pueda salir de la aplicación maliciosa o detectar lo que realmente está sucediendo en su móvil.
Asimismo, el fallo en el diseño permite que se abran múltiples y molestos pop ups con publicidades programados para aparecer, por ejemplo, al iniciarse determinadas aplicaciones. Google ya conoce el fallo e intenta buscar una solución que repare este problema en el diseño. Igualmente, se ha comprometido a eliminar del Android Market toda aplicación con estas características. Eso sí, sólo podrá hacerla siempre que se reciban reportes de usuarios afectados.
Así pues, una nueva prueba de cómo el aumento en la popularidad de la plataforma de Google está convirtiéndola en uno de los objetivos de desarrolladores de aplicaciones maliciosas. A este peligro potencial de phishing tenemos que unir los conocidos virus y troyanos que ya circulan para Android y que comprometen la información personal del usuario. De este modo, seguimos recomendando las máximas precauciones a la hora de instalar aplicaciones e introducir datos personales y bancarios desde nuestro terminal móvil.
Fuente: ADSL Zone y CNET
0 Comments:
Publicar un comentario
Gracias por dejar un comentario en Segu-Info.
Gracias por comentar!