Un nuovo pericoloso bug di sicurezza è stato individuato in Android; la falla è di portata gigantesca, sia per la vastità della platea interessata, sia per la sua pericolosità: sfruttandola, app tipo rogue (software che si presentano come programmi apparentemente legittimi) possono ottenere accesso completo al sistema e alle applicazioni installate, leggere i dati dei dispositivi, raccogliere password, permettere la creazione di botnet sfruttando dispositivi in movimento e sempre connessi, registrare segretamente e costantemente dati.
La vulnerabilità è stata scoperta da BlueBox security, società di San Francisco specializzata in sicurezza e sfrutta le discrepanze con le quali le app su Android sono crittograficamente verificate e installate, permettendo la modifica del codice APK senza inficiare la validità delle applicazioni firmate. Le app per Android (package con estensione .APK), sono (come le app per iOS) firmate digitalmente con una chiave di cifratura per impedire ad applicazioni malevole di modificare il codice. Le app firmate sono espressamente progettate per consentire al sistema di individuare qualunque manomissione o modifica. La vulnerabilità individuata permette tuttavia di identificare come legittime applicazioni in realtà compromesse, dando a queste completo accesso al sistema e permettendo di eseguire qualunque tipo di operazione.
“Un dispositivo colpito da questo exploit può eseguire qualunque azione malevola immaginabile, compresa l’inclusione del dispositivo in una botnet, origliare conversazioni sfruttando il microfono, esportare i dati verso terze parti, cifrare i dati e tenerli in ostaggio, spedire SMS a servizi con tariffazioni speciali, eseguire attacchi DDoS contro specifici target o attivare funzioni per la cancellazione del dispositivo” ha spiegato ad Appleinsider un rappresentante della società che si occupa di sicurezza.
La vulnerabilità è presente in Android sin dalla versione 1.6 “Donut” del sistema ed è dunque virtualmente presente in tutti i dispositivi venduti negli ultimi quattro anni con qualunque release del sistema successivo: Eclair, Froyo, Gingerbread, Honeycomb, Ice Cream Sandwich e Jelly Bean. Applicazioni compromesse possono sfruttare la vulnerabilità e presentarsi come app legittime che hanno completo accesso alle risorse di sistema. Molte applicazioni di società licenziatarie del sistema Android (HTC, Samsung, Motorola o LG ad esempio), così come alcune app per la gestione di VPN (es. AnyConnect di Cisco), sono personalizzate per ottenere speciali privilegi nel sistema e anche l’accesso al System UID (il numero che identifica in modo univoco l’utente). Dopo aver bypassato il meccanismo di firma digitale sfruttato dalle app, i malware tipo rogue possono ottenere accesso completo al sistema Android, alle applicazioni installate e ai dati presenti nei dispositivi. Con privilegi elevati, non solo è possibile accedere ai dati ma è anche possibile individuare le password dei vari account e sfruttare il dispositivo per avviare telefonate, inviare messaggi, attivare la fotocamera, registrare le conversazioni. Inquietante è a detta di Bluebox la possibilità per gli hacker di sfruttare la natura intrinseca di questi dispositivi, sempre accessi e connessi, trasformandoli in device zombie per creare botnet.
La vulnerabilità è stata segnalata a Google e altri membri dell’Open Handset Alliance a febbraio del 2013, ma la società fa notare che è compito dei vari produttori rilasciare firmware specifici per i dispositivi e che la futura disponibilità di potenziali update dipende da quanto i produttori vogliono investire per supportare anche modelli di vecchia generazione. I produttori di dispositivi Android hanno infatti dimostrato finora di essere sempre lenti nel rilasciare aggiornamenti, evitando anche la distribuzione di update molto importanti, un problema endemico che sta diventando il grande tallone d’Achille del sistema.
Un altro problema sta negli utenti Android che spesso ritardano se non addirittura rifiutano l’aggiornamento dei loro sistemi operativi. Un bug di questa portata potrebbe dunque non essere mai riparato interamente, ma sanato solo sui dispositivi più recenti, quelli rilasciati dopo la scoperta del bug stesso.
Aggiornamento: Computerworld riporta che per gli utenti del Samsung Galaxy S4 è disponibile un fix, segno che almeno qualche produttore è al lavoro per risolvere il problema. Google non ha ancora rilasciato patch per i suoi dispositivi Nexus ma un portavoce ha affermato che queste sono in arrivo.
