Descubierta nueva vulnerabilidad de Android que afecta a casi la totalidad de los dispositivos.

Los miembros del equipo de investigación de la compañía californiana de seguridad Bluebox, denominado Bluebox Labs, han descubierto una nueva vulnerabilidad en Android, que puede afectar a cualquier teléfono que tenga instalado Android 1.6 (conocida como Donut) o superior. Por tanto, casi la totalidad de los móviles y tablets con dicho sistema operativo vendidos en los últimos cuatro años en todo el mundo (el 99 por ciento de los existentes) pueden sufrir sus efectos.

La vulnerabilidad en cuestión permite a un hacker modificar el código de un archivo de instalación (APK) de cualquier app para insertar un troyano en él sin modificar su firma criptográfica, que es lo que identifica a una aplicación como legítima. De esta forma, su instalación en el equipo pasaría completamente desapercibida para el usuario, y el troyano podría permitir que el hacker realizara, con total sigilo, la operación deseada, que puede ir desde robar sus datos hasta tomar el control total del smartphone. Se trata, por tanto, de un problema bastante serio.

Su funcionamiento es sencillo: esta vulnerabilidad aprovecha las discrepancias que puede haber en el proceso de verificación de cifrado e instalación de una app para modificar el código fuente de su archivo de instalación sin romper su firma criptográfica. Este elemento es único para cada aplicación, y disponer de una es un requisito indispensable para que Android sepa de cuál se trata y permita su instalación. Al modificar el código fuente del fichero sin alterarla,el sistema creería que la app afectada no ha sufrido alteraciones, por lo que no la bloquearía.

Esta vulnerabilidad es especialmente peligrosa si un hacker consigue modificar una aplicación creada por un fabricante de dispositivos móviles, o desarrollada por un tercero en colaboración con ellos. Si el troyano se instala en el equipo a través de una app de este tipo, que suele tener un nivel de privilegios bastante elevados, el hacker puede conseguir acceso completo al sistema y a todas las aplicaciones instaladas en el dispositivo.

El equipo de Bluebox Labs puso esta vulnerabilidad en conocimiento de Google en el mes de febrero, que ha puesto a noticia en conocimiento de sus partners. Por tanto, la pelota está ahora en el tejado de los fabricantes de dispositivos, encargados de lanzar actualizaciones de firmware para sus dispositivos que solucionen el problema. Algunos ya han comenzado a lanzar parches específicos para resolverlo, como Samsung, que ha integrado uno en el Galaxy S4. Google todavía no cuenta con parches específicos para sus modelos de Nexus, pero ya están trabajando en su desarrollo. La parte negativa es que los móviles y tablets con versiones más antiguas de Android, como Froyo y Gingerbread, ya no reciben actualizaciones, por lo que podrían quedar expuestos a la vulnerabilidad.

En cualquier caso, parece que el problema no afectaría a las apps instaladas a través de Google Play, puesto que la compañía ha creado un parche para su tienda, de forma que sea capaz de reconocer las apps que han sufrido cualquier modificación ilegítima y pueda rechazarlas. Hasta ahora, ninguna app descargada o actualizada a través de la tienda ha sufrido el problema.