Forristal no explicó en profundidad cómo funciona la vulnerabilidad de Android que ha descubierto, aunque adelantó que lo hará durante su intervención en la conferencia Black Hat. De todos modos, ha dado bastantes detalles. Además, aseguró que advirtió a Google de este fallo en febrero de este año.
La vulnerabilidad está presente en el sistema operativo desde el lanzamiento de Android 1.6, hace más de 4 años. Por lo tanto, según los datos de Google, afecta a prácticamente la totalidad de sus dispositivos. En el caso de ser atacados, estos terminales serían incapaces de detectar los cambios hechos en una aplicación por el software malicioso.
Android no sabrá que una app ha sido modificada
Esto se debe a cómo está planteada la seguridad en la plataforma. Todas las aplicaciones tienen una firma criptográfica que, en principio, evita que se modifique el código del APK de una app sin que el sistema operativo sea consciente de ello. Pero la vulnerabilidad que ha descubierto Bluebox permite cambiar el código sin afectar a esta firma gracias a "discrepancias en cómo las aplicaciones Android son verificadas e instaladas". Es decir, Android no se dará cuenta de que el programa no ha sido modificado.
Si esto ocurriese, se podría conseguir acceso a toda la información almacenada en el smartphone. Pero hay más. Dado que en los teléfonos fabricados por terceros hay un gran número de aplicaciones con permisos especiales, un atacante podría acceder a todas las aplicaciones instaladas y, de este modo, controlar el terminal hasta el punto de ser capaz de realizar llamadas, enviar SMS o encender la cámara.
Por lo tanto, son los propios fabricantes quienes deben desarrollar y lanzar actualizaciones para garantizar la seguridad de sus usuarios. Y esto lleva tiempo. Google, por su parte, debería explorar el fallo, si es que no lo ha hecho ya, y trabajar con estos fabricantes para conseguir una respuesta rápida.