Normalmente os utilizadores tendem a acreditar que uma actualização do sistema operativo é sinonimo de mais segurança, uma vez que corrige falhas e de certa forma aumenta a protecção de todo o sistema. Num estudo agora divulgado por um grupo de investigadores da Microsoft e da Universidade Indiana a conclusão é que o mecanismo actual de actualizações do Android traz graves problemas à segurança dos dispositivos.
Mais de mil milhões de equipamentos estão vulneráveis a uma nova classe de vulnerabilidades para o Android designadas de Pileup. Saiba já se o seu dispositivo sofre dessa falha.
Num documento agora divulgado por investigadores da Microsoft e da Universidade Indiana é possível ler-se que a platforma Android sofre de problemas graves de segurança devido ao mecanismo actual de actualizações do Android.
Segundo reportam, o conjunto de falhas afecta quase todas as versões do Android, permitindo que uma aplicação maliciosa, mas aparentemente inofensiva (ou seja, uma “app sem privilégios” no seio da segurança do sistema) , possa adquirir automaticamente permissões significativas, sem o consentimento do utilizador,isto porque existiu uma actualização do próprio sistema Android.
Estas “novas capacidades” incluem a obtenção automaticamente todas as novas permissões, adicionadas pela versão mais recente sistema operativo, podendo posteriormente ser substituídas por aplicações maliciosas, capazes de injectar, por exemplo, scripts em páginas web arbitrárias, etc. A este conjunto de falhas os investigadores deram o nome de Pileup (elevação de privilégios através de actualização).
No total, foram descobertas seis falhas no código do sistema operativo Android. Os investigadores dizem ter confirmado que as versões AOSP (Android Open Source Project) são as menos afectadas. Foram também analisadas 3.522 versões do código fonte personalizado pela Samsung, LG e HTC em todo o mundo que demonstraram sofrer do mesmo problema . Estas falhas afectam todos os dispositivos Android, em todo o mundo, o que representa uma séria ameaça para milhares de utilizadores Android que são realmente encorajados a actualizar a plataforma móvel Android.
Exemplos de ataques de Pileup
Exemplo 1: Ataque de Pileup – Interceptando mensagens do Google Voice
Exemplo 3: Ataque a uma conta da Google
Como saber se o seu dispositivo está afectado por esta falha?
Como ferramenta de ajuda aos utilizadores, o grupo de investigadores criou uma aplicação capaz de detectar falhas Pileup, a cada actualização do sistema operativo. Chama-se SecUP – e está disponível gratuitamente no Google Play.
Os investigadores sugerem que esta aplicação seja executada antes de procederem à actualização do sistema.
