Vulnerabilidade do QuadRooter: 5 coisas a saber sobre esse susto de segurança do Android

Mais uma vez, é Temporada de susto com a segurança do Android. Esta manhã, notícias da última coleção de vulnerabilidades, descobertas pela empresa de segurança Check Point e agrupadas sob o apelido cativante "QuadRooter". Como de costume, a maioria dos relatórios enfocou os piores cenários e um número chocantemente grande de dispositivos potencialmente vulneráveis ​​- neste caso, cerca de 900 milhão.

Vamos analisar exatamente o que está acontecendo e o quão vulnerável você provavelmente será. Leia.

1. É uma coisa da Qualcomm

A Check Point visava especificamente a Qualcomm devido à sua posição dominante no ecossistema Android. Como muitos telefones Android usam hardware Qualcomm, os drivers que a Qualcomm contribui para o software nesses telefones são um alvo atraente - um único conjunto de vulnerabilidades que afetam uma grande parte do Android base de usuários. (Especificamente, os bugs afetam a rede, os gráficos e o código de alocação de memória.)

Todos os quatro exploits que compõem o QuadRooter afetam os drivers da Qualcomm, portanto, se você tiver um telefone que não usa hardware Qualcomm em todos - por exemplo, um Galaxy S6 ou Note 5 (que usa o próprio processador Exynos da Samsung e modem Shannon), você não é afetado por isto.

2. É sério, mas não há evidências de que esteja sendo usado na natureza

Como o nome sugere, QuadRoot é uma coleção de quatro exploits no código da Qualcomm que podem permitir que um aplicativo malicioso obtenha privilégios de root - ou seja, acesso para fazer basicamente qualquer coisa em seu telefone. A partir daí, você pode sonhar com qualquer número de cenários de pesadelo: invasores ouvindo no telefone chamadas, espionando através de sua câmera, furtando detalhes financeiros ou bloqueando seus dados com ransomware.

Ninguém está falando sobre essas façanhas sendo usadas na selva ainda, o que é uma coisa boa. (A Check Point estima que os bandidos o terão empacotado em um malware funcional dentro de três ou quatro meses.) No entanto, dados os desafios envolvidos na atualização do software nos mais de um bilhão de dispositivos Android que existem, os criadores de malware terão muito tempo para descobrir uma solução prática inscrição.

Mas...

3. Provavelmente, você não é realmente "vulnerável"

QuadRooter é um dos muitos Problemas de segurança Android que requer que você instale manualmente um aplicativo. Que significa manualmente indo para as configurações de segurança e marcando a caixa de seleção "Fontes desconhecidas".

Qualquer vuln que exija a instalação manual de um aplicativo enfrenta dois obstáculos principais: a Play Store e o recurso integrado "Verificar aplicativos" do Android.

Dado que a Check Point divulgou as vulnerabilidades pela primeira vez em abril, o Google quase certamente tem verificado os aplicativos da Play Store para essas explorações há algum tempo. Isso significa que você ficará bem se, como a maioria das pessoas, apenas baixar aplicativos da Play Store.

E mesmo se você não fizer isso, o recurso "Verificar aplicativos" do Android foi projetado para agir como uma camada adicional de proteção, verificando aplicativos de fontes de terceiros em busca de malware antes de instalar. Este recurso está habilitado por padrão em todas as versões do Android desde o 4.2 Jelly Bean de 2012 e, como faz parte do Google Play Services, está sempre em atualização. A partir de estatísticas mais recentes acessível, mais de 90 por cento dos dispositivos Android ativos estão executando a versão 4.2 ou posterior.

Não temos confirmação explícita do Google de que "Verify Apps" está procurando QuadRooter, mas considerando que o Google foi informado meses atrás, é bem provável que sim. E se for, o Android identificará qualquer aplicativo que abriga o QuadRooter como prejudicial e mostrará uma grande tela de aviso assustadora antes de permitir que você chegue perto de instalá-lo.

Atualizar: Google confirmou que o Verify Apps pode detectar e bloquear o QuadRooter.

Nesse caso, você ainda está "vulnerável"? Bem tecnicamente. É concebível que você acesse as configurações de segurança, habilite Fontes desconhecidas e, em seguida, ignore o aviso em tela inteira de que está prestes a instalar malware e desabilite outra configuração de segurança em outro lugar. Mas nesse ponto, em grande medida, é você.

4. A segurança do Android é difícil, mesmo com patches mensais

Um aspecto interessante da saga do QuadRooter é o que ele nos mostra sobre os desafios de segurança do Android que ainda permanecem, mesmo em um mundo de patches de segurança mensais. Três das quatro vulnerabilidades foram corrigidas nos últimos patches de agosto de 2016, mas uma aparentemente escapou das rachaduras e não será corrigida até o patch de setembro. Isso é motivo de preocupação legítima, visto que a divulgação aconteceu em abril.

No entanto, um representante da Qualcomm disse ZDNet que a fabricante de chips emitiu seus próprios patches para os fabricantes entre abril e julho, então é possível que alguns modelos tenham sido atualizados fora do mecanismo de patch do Google. Isso apenas ressalta a confusão envolvida em ter um nível de patch explícito do Google, enquanto os fabricantes de dispositivos e componentes também estão fornecendo correções de segurança.

Por enquanto, a única maneira de saber se o seu telefone é teoricamente vulnerável é baixar o Check Point's Aplicativo de scanner QuadRoot na Play Store.

Mesmo depois que os patches são lançados, eles precisam passar pelos fabricantes e operadoras de dispositivos antes de serem enviados aos telefones. E embora algumas empresas como Samsung, BlackBerry e (naturalmente) Google tenham sido rápidas em garantir que os patches mais recentes sejam disponíveis, a maioria das pessoas que fazem dispositivos Android não chega nem perto de ser tão oportuna - especialmente quando se trata de produtos mais antigos ou mais baratos telefones.

O QuadRooter ressalta como a onipresença dos dispositivos Android baseados na Qualcomm os torna um alvo atraente, enquanto a variedade de hardware como um todo torna a atualização de todos eles quase impossível.

5. Já estivemos aqui antes

• Nome de marketing atraente? Verifica.
• Grande número assustador de dispositivos "vulneráveis"? Verifica.
• Aplicativo de detecção gratuito vendido por empresa de segurança com um produto para vender? Verifica.
• Nenhuma evidência de uso na natureza? Verifica.
• Pressione amplamente, ignorando os aplicativos Play Store e Verify como um obstáculo contra explorações baseadas em aplicativos? Verifica.

É a mesma dança que fazemos todos os anos na época da conferência de segurança. Em 2014 foi Identidade falsa. Em 2015, foi Stagefright. Infelizmente, a compreensão dos problemas de segurança do Android na mídia em geral permanece lamentável, e isso significa que números como "900 milhões" afetados saltam ao redor da câmara de eco sem contexto.

Se você está sendo esperto quanto aos aplicativos que instala, não há muito motivo para se preocupar. E mesmo que não seja, é provável que o Play Services e o Verify Apps o protejam.

MAIS: Malware Android - você deve se preocupar?