Vulnerabilidad en Chrome para Android permite infectar 318.000 dispositivos

Una vulnerabilidad en Chrome para Android se está explotando activamente y permite descargar silenciosamente aplicaciones (.APK) de troyanos bancarios en el dispositivo de la víctima.

Los investigadores de Kaspersky, Mikhail Kuzin y Nikita Buchka, descubrieron una campaña de publicidad maliciosa que aparece en el navegador y descarga una aplicación APK en el dispositivo. Mediante un engaño, los atacantes convencen al usuario para cambiar la configuración de seguridad del dispositivo y permitir la instalación de aplicaciones de terceros y de tiendas que no son de Google Play. Este engaño permite instalar la aplicación en el dispositivo.

Desde el mes agosto, el troyano ha infectado más de 318.000 dispositivos Android en todo el mundo, gracias a los anuncios de Google AdSense que estaban siendo abusados ​​para difundir un troyano denominado Svpeng.

"Cuando un archivo APK se descompone y se entrega a la función de "Save" a través de la clase Blob(), no hay ninguna comprobación sobre el tipo de contenido que se guarda, por lo que el navegador guarda el archivo APK sin notificar al usuario" explican en blog.

Google ha reconocido el problema, ha bloqueado los anuncios maliciosos y ha planeado publicar el parche, aunque no está claro cuándo se lanzará la próxima versión de Android Chrome. Sin embargo, si Google se apega a su ciclo de lanzamiento de seis semanas, los usuarios pueden esperar una actualización recién el 3 de diciembre próximo. Incluso si Google corrige este problema en su próxima actualización,  los atacantes aún pueden utilizar esta técnica en dispositivos sin actualizar.

Otro ejemplo de cómo explotar este fallo, sería un recientemente descubierto por el investigador de seguridad indio Jitendra Jaiswal en los sitios web oficiales de WhatsApp y que podría permitir a los atacantes engañar a los usuarios para que descarguen aplicaciones dañinas.

Por lo tanto, siempre es una buena idea instalar aplicaciones desde el Google Play oficial, así como no cambiar la configuración predeterminada de Android que impide la instalación de aplicaciones de terceros.

Fuente: The Hacker News

Suscríbete a nuestro Boletín