Investigadores de seguridad de Promon han encontrado pruebas de la existencia de una grave vulnerabilidad en Android que ya ha sido bautizada como StrandHogg. Esta permite que el malware se haga pasar por aplicación legítima, pudiendo espiar o robar datos de los usuarios. Para que nos hagamos una idea de su peligrosidad, los investigadores nos dan estos datos clave:
- Todas las versiones de Android afectadas, incluyendo Android 10
- Las 500 aplicaciones más populares en riesgo
- Malware real está aprovechando la vulnerabilidad en estos momentos
- 36 aplicaciones aprovechando la vulnerabilidad detectadas
- Se puede aprovechar la vulnerabilidad sin acceso root
Así es StrandHogg, el grave fallo en Android
El problema con la vulnerabilidad es que permite que casi cualquier tipo de malware la aproveche. De hecho, puede ser utilizada para engañar a los usuarios y que concedan permisos a aplicaciones maliciosas cuando en realidad interactúan con aplicaciones legítimas. También puede mostrar páginas de acceso falsas para robar nuestros datos (phishing).
La vulnerabilidad ya está siendo aprovechada. Se han detectado casos en República Checa tras declarar varios bancos el robo de dinero de sus cuentas. Tras eso, han colaborado con Lookout, una firma de seguridad de Estados Unidos, para terminar descubriendo que 36 aplicaciones ya están “haciendo el agosto” a costa de esta vulnerabilidad.
Por desgracia, los investigadores no han confirmado el nombre de ninguna de esas aplicaciones y no tenemos un listado al que agarrarnos. El problema es que esas 36 aplicaciones fueran instaladas en segunda instancia por aplicaciones maliciosas descargadas de la Google Play Store.
A nivel técnico, la vulnerabilidad StrandHogg aprovecha un fallo en la forma en la que Android gestiona el cambio entre procesos que realizan operaciones o aplicaciones. Básicamente, estamos ante un fallo en la multitarea de Android que permite a una aplicación maliciosa activar código mientras el usuario inicia una aplicación legítima.
En resumen, el usuario pincha en una aplicación legítima, como puede ser Instagram, pero la aplicación maliciosa aprovecha el fallo en Android para ejecutar un código que activa el malware. Al suceder todo cuando se ha pulsado el icono, el usuario piensa que se trata de la aplicación legítima.
++++++++++++++++
Los investigadores indican que StrandHogg es imposible de detectar por el usuario final. Además, han analizado las 500 aplicaciones más populares para Android y han detectado que TODAS ellas son vulnerables a este fallo. Google ya está informado, pero no ha solucionado el problema que les fue comunicado hace más de 90 días.
Entre las cosas que puede hacer StrandHogg encontramos:
- Escuchar al usuario a través del micrófono
- Hacer fotos a través de la cámara
- Leer y enviar mensajes SMS Hacer y/o grabar conversaciones telefónicas
- Robar credenciales de inicio de sesión con phishing
- Obtener acceso a todas las fotos y archivos privados en el dispositivo
- Obtener ubicación e información de GPS
- Obtener acceso a los contactos
- Acceder a los registros del teléfono
