Ainda a vulnerabilidade descoberta pela equipa de segurança da Bluebox não foi corrigida pelos fabricantes e a Google já tem que olhar para outro alegado "buraco" que coloca em causa a integridade das apps.

O sistema operativo da Google volta a estar no centro da discussão e mais uma vez por razões pouco abonatórias. Um grupo de investigadores chineses alega ter descoberto uma falha de segurança no Android que permite ultrapassar a assinatura cifrada das aplicações, situação que coloca em risco milhões de utilizadores.

A vulnerabilidade apesar de ser diferente daquela descoberta pela empresa de segurança Bluebox, baseia-se na mesma lógica. Os piratas informáticos aproveitam a diferença que existe entre o processo de verificar e instalar uma aplicação para criarem dois ficheiros com nomes idênticos – o que é verificado é a assinatura verdadeira, enquanto o que é instalado é o pacote que contém malware.

Desta forma, as aplicações que existem na Google Play Store e que deveriam estar livres de malware podem afinal estar comprometidas. No entanto o bug descoberto pelos informáticos orientais não tem um impacto tão grande quanto o da Bluebox – que pode afetar 99% dos smartphones e tablets Android – já que está limitado à manipulação de ficheiros do tipo .dex que tenham até 64KB, como explica o The Register.

Segundo um especialista de segurança ouvido pela ComputerWorld, o método descrito é plausível e credível. A Google ainda não fez nenhum comentário oficial relativamente à teórica nova vulnerabilidade encontrada.

A equipa chinesa denominada Android Security Squad descobriu uma falha relacionada com o Java que reproduz os mesmos resultados, vulnerabilidade que é explicada em detalhe técnico no blogue dos investigadores asiáticos.

A Google já corrigiu a falha de segurança encontrada pela Bluebox e já encaminhou a solução para os fabricantes que devem fazer chegar a atualização ao maior número possível de utilizadores.

TeK