Google lleva meses sin solucionar un grave fallo de seguridad de Android
Hace ya varios meses que la propia Google reconoció que hay un importante fallo de seguridad en su sistema operativo para dispositivos móviles, Android, fallo que permite a los ciberdelincuentes atacar a usuarios desprevenidos con software malicioso. Sin embargo en principio no parecen estar muy interesados en solucionarlo con premura.
De hecho y por lo que se ha podido saber, parece que la propia firma no tiene planeado solucionar esta vulnerabilidad hasta que no lance la próxima versión importante del propio Android. Esto fue descubierto en su momento por la firma CheckPoint, agujero de seguridad que aprovecha la forma en que funciona Android para exponer a sus usuarios a ciertos tipos de ataques con código malicioso, incluidos los conocidos como ransomware, malware bancario o adware. De hecho la propia compañía ya confirmó a la empresa de seguridad que el problema está siendo tratado en Android O, en lugar de ofrecer una solución inmediata.
Lo curioso del tema es que Google sí que se da prisa en buscar vulnerabilidades en la competencia, como ya os comentamos en el caso sucedido con Microsoft en el día de ayer, pero para sus vulnerabilidades no parece tener tanta prisa.
Lo peor del caso es que no todos los dispositivos Android que podrían ser susceptibles a estos ataques podrán actualizar a Android O, ya que esta es actualización que nunca llegará a sus dispositivos, por lo que quedarán expuestos para siempre. Cabe mencionar que el error detectado por CheckPoint tan solo funciona con las aplicaciones instaladas directamente desde la Google Play Store, por lo que los atacantes deben encontrar una manera de evitar la seguridad antimalware de la tienda antes de aprovechar la vulnerabilidad.
A partir de Android 6.0 Marshmallow Google realizó varios cambios en los permisos de las aplicaciones, dividiendo estos en varias categorías. Algunos de ellos son etiquetados como «peligrosos» y solo se conceden durante el tiempo de ejecución de la app, por lo que los usuarios deben aprobar estos permisos la primera vez que se requiera un recurso peligroso. Así CheckPoint explica que también hay una categoría de permisos que solo contiene uno llamado “SYSTEM_ALERT_WINDOW” que el usuario debe conceder manualmente, o al menos así se suponía que funcionaba. Decir que este permiso deja que una aplicación funcione sobre cualquier otra sin notificar al usuario, y aquí radica el problema.
Google lleva meses sin solucionar un importante fallo de seguridad en Android
Decimos esto porque es un sistema potencial para varias técnicas maliciosas como la visualización de anuncios fraudulentos, estafas de phishing o ventanas emergentes, habituales en los troyanos bancarios. También puede ser utilizado por el ransomware para crear una pantalla permanente que evitaría que los usuarios accediesen a sus dispositivos. Asimismo CheckPoint advierte que el 74% del ransomware, el 57% de adware y el 14% de malware usan esta característica, de ahí su importancia. Por todo ello en Android O, Google impedirá que las aplicaciones abusen de este permiso añadiendo otro más restrictivo.
Sin embargo esto solo será aplicable a aquellos que, en su día, puedan usar Android O, la pregunta que le podríamos hacer ahora a Google es ¿qué pasa con el resto de usuarios a este respecto?
