Índice:
- 1. É uma coisa da Qualcomm
- 2. É sério, mas não há evidências de que seja usado na natureza
- 3. Provavelmente, você não é realmente "vulnerável"
- 4. A segurança do Android é difícil, mesmo com patches mensais
- 5. Já estivemos aqui antes
Mais uma vez, é a época de assustar a segurança do Android. Nesta manhã, surgiram notícias da mais recente coleção de vulnerabilidades, descoberta pela empresa de segurança Check Point e agrupada sob o apelido cativante "QuadRooter". Como de costume, a maioria dos relatórios se concentrou nos piores cenários e em um número surpreendentemente grande de dispositivos potencialmente vulneráveis - nesse caso, cerca de 900 milhões.
Vamos detalhar exatamente o que está acontecendo e o quão vulnerável você provavelmente será. Leia.
1. É uma coisa da Qualcomm
A Check Point visou especificamente a Qualcomm devido à sua posição dominante no ecossistema Android. Como muitos telefones Android usam hardware da Qualcomm, os drivers que a Qualcomm contribui para o software desses telefones são um alvo atraente - um único conjunto de vulnerabilidades que afetam uma grande proporção da base de usuários do Android. (Especificamente, os bugs afetam o código de rede, gráficos e alocação de memória.)
Os drivers da Qualcomm são um alvo grande e atraente.
Todas as quatro explorações que compõem o QuadRooter afetam os drivers da Qualcomm; portanto, se você tiver um telefone que não usa nenhum hardware da Qualcomm - por exemplo, um Galaxy S6 ou Note 5 (que usa o processador Exynos da Samsung e o modem Shannon), você ' não é afetado por isso.
2. É sério, mas não há evidências de que seja usado na natureza
Como o nome sugere, o QuadRoot é uma coleção de quatro explorações no código da Qualcomm que podem permitir que um aplicativo mal-intencionado obtenha privilégios de root - ou seja, acesso para fazer basicamente qualquer coisa no seu telefone. A partir daí, você pode imaginar vários cenários de pesadelo: invasores ouvindo chamadas telefônicas, espionando sua câmera, roubando detalhes financeiros ou bloqueando seus dados com ransomware.
Ninguém está falando sobre essas façanhas sendo usadas na natureza ainda, o que é uma coisa boa. (A Check Point calcula que os bandidos o levarão para o malware em funcionamento dentro de três ou quatro meses.) No entanto, diante dos desafios envolvidos na atualização do software nos mais de um bilhão de dispositivos Android existentes, os criadores de malware terão muito tempo para descobrir uma aplicação prática.
Mas…
3. Provavelmente, você não é realmente "vulnerável"
QuadRooter é um dos muitos problemas de segurança do Android que requer a instalação manual de um aplicativo. Isso significa acessar manualmente as configurações de segurança e alternar a caixa de seleção "Fontes desconhecidas".
Qualquer vuln que exija a instalação manual de um aplicativo é executado em dois grandes obstáculos: a Play Store e o recurso "Verificar aplicativos" do Android.
Como o Check Point divulgou as vulnerabilidades pela primeira vez em abril, o Google quase certamente analisa os aplicativos da Play Store para essas explorações há algum tempo. Isso significa que você ficará bem se, como a maioria das pessoas, baixar apenas aplicativos da Play Store.
E mesmo se não o fizer, o recurso "Verificar aplicativos" do Android foi projetado para funcionar como uma camada adicional de proteção, verificando aplicativos de fontes de terceiros em busca de malware conhecido antes da instalação. Esse recurso é ativado por padrão em todas as versões do Android desde o 4.2 Jelly Bean de 2012 e, como faz parte do Google Play Services, está sempre atualizando. Nas estatísticas mais recentes disponíveis, mais de 90% dos dispositivos Android ativos estão executando a versão 4.2 ou posterior.
Não temos confirmação explícita do Google de que "Verify Apps" está procurando QuadRooter, mas, como o Google foi informado meses atrás, é provável que sim. E, se for, o Android identificará qualquer aplicativo que hospeda o QuadRooter como prejudicial e exibirá uma grande tela de aviso assustadora antes de permitir que você chegue perto da instalação.
Atualização: o Google confirmou que o Verify Apps pode detectar e bloquear o QuadRooter.
Nesse caso, você ainda está "vulnerável"? Bem tecnicamente. Você pode ir para Configurações de segurança, ativar Fontes desconhecidas e ignorar o aviso de tela cheia de que está prestes a instalar malware e desativar outra configuração de segurança em outro lugar. Mas nesse ponto, em grande parte, é por sua conta.
4. A segurança do Android é difícil, mesmo com patches mensais
Um aspecto interessante da saga QuadRooter é o que nos mostra sobre os desafios de segurança do Android que ainda permanecem, mesmo em um mundo de patches de segurança mensais. Três das quatro vulnerabilidades foram corrigidas nos últimos patches de agosto de 2016, mas um aparentemente escapou das falhas e não será corrigido até o patch de setembro. Isso é motivo de preocupação legítima, uma vez que a divulgação ocorreu em abril.
No entanto, um representante da Qualcomm disse ao ZDNet que o fabricante de chips estava emitindo patches próprios para os fabricantes entre abril e julho, portanto, é possível que alguns modelos tenham sido atualizados fora do mecanismo de correção do Google. Isso apenas ressalta a confusão envolvida em ter um nível explícito de patch do Google, enquanto os fabricantes de dispositivos e fabricantes de componentes também estão fornecendo correções de segurança.
A maioria dos fabricantes de telefones Android é péssima ao emitir patches de segurança. E mesmo dispositivos atualizados não serão totalmente corrigidos por mais um mês.
Por enquanto, a única maneira de saber se o seu telefone é teoricamente vulnerável é baixar o aplicativo de scanner QuadRoot da Check Point na Play Store.
Mesmo depois que os patches são emitidos, eles precisam passar pelos fabricantes e operadoras de dispositivos antes de serem enviados aos telefones. E embora algumas empresas como Samsung, BlackBerry e (naturalmente) Google tenham sido rápidas em garantir que os patches mais recentes estejam disponíveis, a maioria das pessoas que fabricam dispositivos Android não chega nem perto do tempo - especialmente quando se trata de telefones mais antigos ou com preços mais baixos.
O QuadRooter ressalta como a onipresença dos dispositivos Android baseados na Qualcomm os torna um alvo atraente, enquanto a variedade de hardware como um todo torna quase impossível atualizar todos eles.
5. Já estivemos aqui antes
- Nome de marketing cativante? Verifica.
- Grande número assustador de dispositivos "vulneráveis"? Verifica.
- Aplicativo de detecção gratuito distribuído pela empresa de segurança com um produto para vender? Verifica.
- Não há evidências de uso na natureza? Verifica.
- Você ignora a Play Store e verifica aplicativos como um obstáculo contra explorações baseadas em aplicativos? Verifica.
É a mesma dança que fazemos todos os anos no horário da conferência de segurança. Em 2014, foi o Fake ID. Em 2015, foi Stagefright. Infelizmente, a compreensão dos problemas de segurança do Android na mídia em geral permaneceu lamentável, e isso significa que números como os "900 milhões" afetados saltam pela câmara de eco sem contexto.
Se você é inteligente quanto aos aplicativos que instala, não há muito motivo para se preocupar. E mesmo se você não estiver, as chances são de que o Play Services e o Verify Apps estarão à sua disposição.
MAIS: Android Malware - você deve se preocupar?
