Um bug deixa 1,4 bilhoes de usuarios do Android em risco de seguranca
Temos conhecido uma nova falha no dia de hoje graças a equipe de segurança Lookout e que afeta uma grande fatia dos usuários do Android em todo o mundo. É um bug relacionado ao kernel do Linux 3.6 e que também está presente no Android a partir da versão 4.4 KitKat e posteriores (sim, mesmo na versão beta do Android Nougat).
Este bug poderia afetar de este modo cerca de 80% de todos os usuários do Android (1,4 bilhões de dispositivos de acordo com Statesman) e muito provavelmente você que nos lê. Este é o bug CVE-2016-5696, que permite a um invasor a esgueirar-se em uma conexão não criptografada e para executar código malicioso. Esta seria uma solução para se proteger contra esse bug de forma drástica: usar uma VPN ou conectar-se apenas aos serviços e sites que usam conexões criptografadas.
Uma vez que você intercepta uma conexão não criptografada com qualquer serviço na internet você pode, por exemplo, abrir um falso pop-up que requer um novo acesso a um serviço genérico (e-mail, social, paypal, etc.). O mesmo também pode ser feito dentro do navegador ou por meio de um cliente de email. Se a conexão é criptografada, o atacante ainda pode terminar a ligação. Google respondeu a um pedido de comentários, esclarecendo que o erro não é apenas Android (e Linux em geral) e que os engenheiros estão trabalhando para corrigi-lo, mas que a questão não tem prioridade.
Esta escolha deve-se provavelmente ao facto de que é difícil que o erro seja explorado em grande escala. Na verdade, leva cerca de 10 segundos testar se dois clientes estão conectados e outros cerca de 45 segundos para enviar o código malicioso no tráfego de origem. Considerando isto, portanto, você deve saber (ou prever) a existência de uma certa conexão e o tempo necessário para executá-lo, é um ataque que somente os usuários com o maior número de “perfis sensíveis” (político, governo, militares, etc.) são em perigo assim concretamente.
Considerando que existem smartphones que não recebem apoio de qualquer tipo há anos, há algumas reservas sobre soluções para usuários específicos, e lembramos que aqueles que querem roubar nossos dados tem muito tempo livre. Então, tenha um olho, em seguida, sobre os sites correntes ou mensagens suspeitas até uma correção em um patch futuro mensal divulgado pela Google (pena que 90% dos 80% dos dispositivos de destino nunca serão atualizados).