A empresa de segurança FireEye publicou ontem um relatório detalhando um bug de um cógido aberto da Qualcomm que afeta milhões de dispositivos Android. O bug provoca uma falha de segurança que permite que hackers visualizem o histórico de chamadas, leiam mensagens SMS e mudem as configurações do sistema das vítimas.

Trata-se de um problema com algumas APIs da Qualcomm introduzidas como parte do serviço de sistema “network_manager”. Por ser um problema da Qualcomm, mesmo alguns dispositivos que rodam Cyanogen (uma versão modificada do Android) podem estar vulneráveis.

Segundo o ArsTechnica, os usuários mais vulneráveis são aqueles que utilizam as versões 4.3 ou mais antigas do sistema operacional do Google. Isso porque essas versões ainda não têm uma medida de segurança que foi introduzida na versão 4.4. No entanto, mesmo dispositivos com a última versão do Android podem ser afetados.

Embora a falha permita apenas acesso limitado ao dispositivo, seu maior problema, de acordo com a FireEye, é que ela dificilmente é detectada pelas medidas de segurança do Google. “A Google Play não a apontou como maliciosa”, e “É difícil acreditar que qualquer antivírus detectaria essa ameaça”, disse a empresa. “A permissão necessária para se realizar [esse ataque] é solicitada por milhões de aplicativos, então isso não indicaria ao usuário que algo está errado”, continua a empresa.

Solução

O The Next Web informa que a FireEye notificou o Google e a Qualcomm sobre o problema, e ambas as empresas tomaram medidas para solucioná-lo. O Google incluiu o bug em seu relatório de segurança mensal, e a Qualcomm soltou uma atualização para corrigir a falha.

No entanto, segundo a FireEye, trata-se de um problema muito difícil de se resolver. Isso porque o bug se encontra em um pedaço de código aberto atualmente ativo. Por esse motivo, a empresa considera que seja “particularmente difícil de se corrigir todos os aparelhos afetados, se não impossível”. 

A empresa ainda informou, porém, que não há evidência, por ora, de que a falha de segurança resultante do bug esteja sendo explorada por hackers. Como o Android possui mais de 1,4 bilhão de dispositivos ativos – a grande maioria dos quais usa versões desatualizadas do sistema operacional – o risco continua existindo.