Google remove o trojan “DroidDream” no Android

O Android, devido ao seu "boom" recente, tem sido um alvo bastante apetecido por parte dos hackers e tudo indica que assim continuará.

Aconteceram recentemente algumas situações que comprometeram a segurança do SO móvel da Google e, consequentemente, instalou-se algum receio por parte de alguns utilizadores. Dado isso, a Google viu-se obrigada a utilizar novamente o "kill switch" para conseguir desinstalar remotamente as aplicações mal intencionadas.

Há várias semanas foi notícia uma aplicação que circulava fora do Android Market, chamada Soundminer, que era capaz de registar números de cartão de crédito, quer fossem digitados no teclado ou ditos por voz, e de os enviar para o criador dessa aplicação, obviamente com a intenção de uso ilegal desses dados.

A aplicação reunia um conjunto de permissões onde era clara a possibilidade de gravação de áudio, no entanto, para não criar desconfiança, não necessitava de permissões de comunicação de dados com a rede, ou que a tornava credível mesmo para os mais atentos. No entanto, o Soundminer recorria a uma segunda aplicação, chamada Deliverer, cuja função era o envio, para o hacker, de toda a informação reunida pelo Soundminer. O Deliverer apenas necessitava de permissões de acesso à rede de dados, algo normalíssimo nas aplicações em geral. O vídeo abaixo demonstra claramente como funcionava a artimanha.

Os detalhes deste ataque podem ser consultados neste paper levado a cabo por uma equipa de investigadores da Universidade de Hong Kong.

Mais recentemente, foram criadas e publicadas 21 aplicações no Android Market que não eram mais do que cópias de aplicações bem conhecidas, mas desta vez continham exploits.

Ao instalar uma dessas aplicações era desbloqueado automaticamente o acesso "root" do equipamento, com recurso ao exploit "rageagainstthecage", e depois outra aplicação contida no código tratava de roubar toda a informação que pudesse como o IMEI, o ID do produto, o modelo, o fornecedor de serviços, língua, país e userID. A acrescentar a isso a aplicação tinha ainda a proeza de conseguir fazer download de código adicional e expandir-se automaticamente. O pior é que tudo isto ocorreu durante 4 dias onde foram feitos entre 50 mil a 200 mil downloads de aplicações desse tipo! Este trojan foi baptizado de "DroidDream".

A Google reagiu rapidamente e recorreu ao método "kill switch", usado já uma vez em Junho de 2010, que consiste na remoção remota de software maligno. Concretamente, a Google consegue limpar essas aplicações, remover os exploits e fazer algumas algumas modificações de modo a prevenir a reincidência deste tipo de acontecimentos.

A ferramenta capaz de remover o trojan "DroidDream" chama-se Android Market Security Tool, lançada pela Google no passado dia 6, e é automaticamente instalada nos utilizadores que foram alvo do trojan. A sua descrição é bastante conclusiva:

There is no need to download and install this application on your own. This is an Android Market security update that undoes exploits caused by the malicious applications that were removed from Android Market on 03/01/2011. Only some users were affected. Those users will receive an email notification that states this update will be automatically pushed to their devices. This app will be removed automatically after it has completed running.

You are NOT required to take any action whatsoever to undo the exploit on your device. For more information, visit http://goo.gl/P8Iqk.

Desta forma espera-se que a Google esteja no rumo certo quanto à segurança no Android pois, se assim continuar, estará a por em causa a sua credibilidade e capacidade em lidar com o seu crescimento abrupto.