Outra falha grave descoberta no Android, agora no Multitasking

Os últimos tempos têm sido complicados para a Google e para o Android, dado o número e a complexidade dos problemas de segurança que têm surgido.

Mas como os investigadores de segurança não param de testar e de validar os sistemas operativos, surgiu agora mais uma falha, que afecta os mecanismos de multitasking do Android. A falha é grave a afecta todos as versões mais recentes.

A mais recente falha foi descoberta por investigadores do Laboratórios de Ciber Segurança da Universidade da Pensilvânia que a apresentaram na última conferência USENIX Security 15.

Segundo o que foi apresentado, e está descrito num paper publicado (PDF), o Android tem uma falha grave nos mecanismos de multitasking, que permitem que aplicações maliciosas possam roubar dados de acesso dos utilizadores, sem que estes tenham noção disso.

Esta aplicações maliciosas conseguem simular as interfaces de outras reais e daqui em diante os dados são retirados e usados pelos atacantes.

A gravidade deste problema não está na forma como ele é explorado, mas sim no componente core do Android em que assenta, os mecanismos de controlo das tarefas de multitasking.

Os investigadores que descobriram esta falha avaliaram mais de 6,8 milhões de aplicações em várias lojas de aplicações Android e na sua maioria a falha pôde ser explorada de forma simples, sem qualquer controlo por parte dos utilizadores.

É também aqui que reside uma parte grande do problema. A totalidade dessas lojas de aplicações Android não são controladas pela Google e todas as possíveis medidas que fossem aplicadas para detectar esse tipo de aplicações não seriam abrangentes.

Mesmo que seja criada uma solução, esta teria de ser aplicada de forma unificada no Android, o que mais uma vez representa um problema, devido à elevada fragmentação que existe neste ecossistema.

A solução passa, mais uma vez, pelo cuidados dos utilizadores em instalar apenas aplicações de lojas válidas e seguras, precavendo problemas e defendendo-se.

A resposta da Google a este problema

Este problema foi endereçado à Google que o reconheceu, mas com uma indicação de que não poderá ser explorado, devido às várias medidas de segurança que aplicam na sua loja.

We appreciate this theoretical research as it makes Android’s security stronger.

Android users are protected from attempts at phishing or hijacking like this (including manipulation of the user interface) with Verify Apps and Safety Net security features.

Mesmo sendo uma verdade, muitos utilizadores são obrigados a usar outras lojas de aplicações, como é o caso chinês em que a loja do Android está bloqueada, o que os impede de ter acesso a todas essas garantias de segurança.

Mesmo com toda as novidades que tem apresentado, este não tem sido um ano positivo no campo da segurança para o Android, o que deixa os utilizadores receosos pela sua segurança e pela dos seus dados.