Uma vulnerabilidade extremamente simples do Android Lollipop descoberta por um analista de segurança da Universidade do Texas pode levar os usuários do sistema a ter que trocar as senhas de desbloqueio de seus dispositivos por desenhos ou números de PIN. Caso uma pessoa mal-intencionada tenha acesso físico a um aparelho trancado por senha comum, seria possível usar a falha para passar livremente pela tela de bloqueio e ganhar acesso total a todo o dispositivo.
Como podemos ver no vídeo abaixo, a vulnerabilidade é causada por uma série de ações extremamente simples. Basicamente, a ideia é usar o mecanismo de chamada de emergência para criar uma linha de quaisquer caracteres tão longa que causa um erro no sistema. Uma vez que isso aconteça, basta abrir a câmera e esperar até que o app fotográfico pare de funcionar, expondo a tela home do aparelho.
Tecnologia, negócios e comportamento sob um olhar crítico.
Assine já o The BRIEF, a newsletter diária que te deixa por dentro de tudo
Com acesso ao interior do dispositivo, o invasor poderia ir até o aplicativo de Configurações, ativar o modo de desenvolvedor e disponibilizar a Depuração USB, o que permitiria obter todas as informações do usuário e de seus aplicativos. Além disso, seria possível até mesmo instalar softwares maliciosos no aparelho.
Risco moderado
John Gordon, o analista que fez a descoberta, afirmou que sua principal preocupação era relacionada a agentes governamentais mal-intencionados ou qualquer outra pessoa que temporariamente conseguisse pôr as mãos em um celular vulnerável. “Se, digamos, você der seu smartphone para um agente de segurança de aeroporto durante uma triagem prolongada, ele poderia extrair ou plantar algo nele sem que você soubesse”, afirmou.
Embora tenha testado a falha somente em dispositivos Nexus, o especialista acredita que ela deve estar presente em outros aparelhos que rodem o Android Lollipop. Gordon reportou a vulnerabilidade para a Google em julho e a empresa lançou uma atualização de correção em agosto. No entanto, usuários de aparelhos com bloqueio de operadora provavelmente ainda não receberam o patch e, portanto, continuam suscetíveis ao problema.
Por mais que possa ter consequências sérias em alguns casos, o fato é que esse método de ataque representa mais uma curiosidade do que uma ameaça crítica, já que o invasor teria que obter acesso físico ao celular. Segundo a própria Google, o problema descoberto por Gordon tem um nível de severidade “moderado”. Seja como for, talvez seja uma boa ideia atualizar seu celular e substituir a senha escrita por outro método de desbloqueio.
Seu celular está protegido contra a nova falha de segurança descoberta no Android Lollipop? Comente no Fórum do TecMundo
Tecnologia, negócios e comportamento sob um olhar crítico.
Assine já o The BRIEF, a newsletter diária que te deixa por dentro de tudo
