Microsoft identifica falha de segurança em dispositivos Android que afeta bilhões de aparelhos
Edgar Cervantes / Autoridade Android
DR
- A Microsoft descobriu uma vulnerabilidade de segurança que afeta aplicativos Android chamada “Dirty Stream”.
- Isso poderia permitir que invasores executassem códigos maliciosos em aplicativos populares, levando potencialmente ao roubo de dados.
- A falha é generalizada, com a Microsoft identificando aplicativos vulneráveis que possuem bilhões de instalações combinadas.
A Microsoft revelou uma brecha crítica de segurança, que pode afetar inúmeros aplicativos Android. Apelidada de “Dirty Stream”, esta vulnerabilidade representa uma ameaça séria que pode conceder a alguém a capacidade de assumir o controle de aplicativos e roubar informações valiosas do usuário. (h/t: Computador bipando)
O cerne da vulnerabilidade “Dirty Stream” está no potencial de aplicativos Android maliciosos manipularem e abusarem do sistema provedor de conteúdo do Android. Este sistema normalmente é projetado para facilitar a troca segura de dados entre diferentes aplicativos em um dispositivo. Inclui salvaguardas como isolamento rigoroso de dados, uso de permissões anexadas a URIs (Identificadores Uniformes de Recursos) específicos e validação completa de caminhos de arquivos para evitar acesso não autorizado.
Contudo, a implementação descuidada deste sistema pode abrir a porta à exploração. Os pesquisadores da Microsoft descobriram que o uso incorreto de “intenções personalizadas” – o sistema de mensagens que permite a comunicação dos componentes do aplicativo Android – pode expor áreas sensíveis de um aplicativo. Por exemplo, aplicativos vulneráveis podem não conseguir verificar adequadamente os nomes ou caminhos dos arquivos, concedendo a um aplicativo malicioso a chance de inserir códigos prejudiciais camuflados como arquivos legítimos.
Qual é a ameaça?
Ao explorar a falha Dirty Stream, um invasor pode enganar um aplicativo vulnerável para que ele substitua arquivos críticos em seu espaço de armazenamento privado. Esse cenário de ataque pode fazer com que o invasor assuma o controle total sobre o comportamento do aplicativo, obtenha acesso não autorizado a dados confidenciais do usuário ou intercepte informações de login privadas.
A investigação da Microsoft revelou que esta vulnerabilidade não é um problema isolado, uma vez que a investigação encontrou implementações incorretas do sistema fornecedor de conteúdos predominantes em muitas aplicações Android populares. Dois exemplos notáveis são o aplicativo File Manager da Xiaomi, que tem mais de um bilhão de instalações, e o WPS Office, que possui cerca de 500 milhões de instalações.
O pesquisador da Microsoft, Dimitrios Valsamaras, enfatizou o número impressionante de dispositivos em risco, afirmando: “Identificamos vários aplicativos vulneráveis na Google Play Store que representavam mais de quatro bilhões de instalações”.
A Microsoft compartilhou proativamente suas descobertas, alertando os desenvolvedores sobre aplicativos potencialmente vulneráveis e colaborando com eles para implantar correções. Ambas as empresas mencionadas acima reconheceram prontamente os problemas identificados em seus softwares.
Além disso, o Google tomou medidas para evitar vulnerabilidades semelhantes no futuro, atualizando suas diretrizes de segurança de aplicativos, agora colocando ênfase adicional em falhas comuns de design de provedores de conteúdo exploráveis.
O que os usuários do Android podem fazer?
Enquanto os desenvolvedores lutam para encontrar e corrigir aplicativos vulneráveis, os usuários do Android podem tomar algumas precauções simples. Ficar atento às atualizações de aplicativos é crucial, pois os desenvolvedores provavelmente emitirão correções rapidamente.
Além disso, é aconselhável sempre baixar aplicativos da Google Play Store oficial e ter muito cuidado ao fazer download de fontes não oficiais, que são mais propensas a abrigar aplicativos maliciosos.Tem uma dica? Fale Conosco! Envie um e-mail para nossa equipe em [email protected]. Você pode permanecer anônimo ou obter crédito pelas informações, a escolha é sua.
