Recientemente
el equipo de Trend Micro ha encontrado una vulnerabilidad en ciertas aplicaciones Android que pone los datos del usuario en riesgo de ser capturados o utilizados para lanzar ataques. Las dos aplicaciones afectadas en las que se enfocaron son muy populares:
- La primera es de productividad se ha instalado al menos 10 millones de veces y tiene cientos de miles de comentarios de los clientes en su página de descarga.
- La segunda está relacionada con las compras, se ha instalado al menos 1 millón de veces y también tiene miles de comentarios de los clientes en su página de descarga.
Tras diversas investigaciones se encontró que este problema radica en un cierto componente Android que básicamente ejecuta funciones de la aplicación. Este componente tiene un atributo llamado
“android: exported” que , cuando está en “true”, permite que se ejecute o se acceda desde otras aplicaciones. Lo cual significa que las aplicaciones instaladas en un dispositivo pueden ser capaces de activar determinadas funciones; esto a su vez tiene evidentes usos prácticos para desarrolladores y vendedores que quieren captar a las empresas con aplicaciones de otros fabricantes, pero desde el punto de vista de la seguridad, también representa una oportunidad para los criminales cibernéticos.
Usando actividades para lanzar ataques Para aprovechar este problema existen varios métodos, dependiendo de la intención del atacante y de la naturaleza de la aplicación vulnerable. A modo de ejemplo, en el análisis se encontró que una actividad particular en un carrito de la app- uno que muestra pop-ups cada vez que el usuario realiza una compra – es vulnerable al abuso y puede ser provocada por otras aplicaciones. Una posible consecuencia de esto es que una aplicación maliciosa puede mostrar pop-ups en la aplicación comercial y utilizarlo para lanzar ataques. El atacante puede diseñar la aplicación maliciosa para mostrar ventanas emergentes que llevan a enlaces u otras aplicaciones maliciosas.
Usando proveedores de contenido para robar información Una de las diversas formas de aprovechar este problema de seguridad es dirigirse a los proveedores de contenido que manejan información crítica con el fin de apropiarse de ella. Un proveedor de contenido relacionado con el almacenamiento del usuario en la entrada a una aplicación de productividad, por ejemplo, se puede utilizar para capturar datos. No importando el proveedor de contenido que es considerado crítico puede ser protegido definiendo los permisos. Sin embargo, no poner el adecuado nivel de protección en los permisos puede hacer vulnerable al abuso al proveedor de contenido. En la mencionada aplicación de la productividad, el proveedor de contenidos almacena la entrada del usuario que estaba protegida por permisos Lectura y Escritura. Sin embargo, ambos se dieron permisos de nivel “normal” de protección, lo que significa que todas las aplicaciones instaladas en el dispositivo conceden los dos permisos también. Si bien es cierto, para los desarrolladores, este tema pone de relieve la importancia de poner las restricciones apropiadas en los diferentes componentes de aplicaciones. Los componentes que son propensos a los abusos deben ser protegidos con permisos y con el nivel de protección adecuado. En diversas ocasiones el equipo de TrendLabs ha informado que el uso de los niveles de protección con el fin de asegurar los componentes de Android no puede estar a prueba de tontos, sin embargo debe ofrecer un buen nivel de seguridad. Por tanto,
como recomendación Trend Micro hace hincapié a los desarrolladores el hecho de que deben comprobar los componentes utilizados en su aplicación y asegurarse de que el acceso a ellos está restringido correctamente. De cualquier forma el equipo de Trend ya se ha puesto en contacto con los desarrolladores de las aplicaciones mencionadas anteriormente y les han informado de esta cuestión. Sin embargo se cree que algunas otras aplicaciones populares pueden verse afectadas y trabajaremos para informarles sobre cómo los encontramos. Para más información visita trendmicro.com Marketing
