Descobertos dez modelos Android com vulnerabilidades vindas de fábrica

São vários e recorrentes os casos de vulnerabilidades na segurança de dispositivos com Android. Esta realidade deve-se a vários fatores, nomeadamente à fragmentação do próprio sistema operativo.

Ora, no seguimento dessa fragmentação e personalização realizada por várias fabricantes, ocorrem situações em que os dispositivos ficam sujeitos a vulnerabilidades que afetam a integridade e segurança dos mesmos.

Na conferência Black Hat, que se realizou durante esta semana, a Kryptowire – empresa dedicada à segurança de dispositivos móveis – apresentou um relatório onde divulga que dez modelos de quatro fabricantes apresentam vulnerabilidades no firmware dos equipamentos e que comprometem a segurança dos dados e privacidade do utilizador, acrescendo também ameaças à própria integridade e funcionamento do terminal.

Tal foi reportado em modelos das marcas Asus, LG, Essential e ZTE. Recorde-se que, no passado mês de maio, a ZTE foi obrigada a suspender temporariamente as suas operações nos EUA por implicações do governo americano.

Por norma, as ameaças que atacam dispositivos Android fazem uso das lacunas do sistema operativo, conseguindo deste modo explorar o equipamento num âmbito que não é suposto.

Ora, geralmente essas fragilidades estão acopladas ao próprio sistema operativo. E sendo o Android um sistema tão diverso devido às inúmeras personalizações que as fabricantes aplicam nos seus modelos, esse risco de hiatos aumenta consideravelmente.

Foi o sucedido neste caso reportado pela Kryptowire, em que as alterações implementadas pela Asus, ZTE, Essential e LG resultaram em situações em que terceiros podem tomar controle quase total do smartphone. O caso mais extremo está associado ao Asus ZenFone V Live, no qual o atacante pode capturar print screens e gravar o ecrã do dispositivo, realizar chamadas telefónicas, ler e editar mensagens, entre muitas outras invasões. A Asus já reagiu ao sucedido e disse em publicado:

Asus is aware of the recent ZenFone security concerns raised and is working diligently and swiftly to resolve them with software updates that will be distributed over-the-air to our ZenFone users. Asus is committed to users’ security and privacy and we highly encourage all users to update to the latest ZenFone software to ensure a safe and secure user experience.

Como será realizada a resolução das vulnerabilidades?

Esta falha no firmware afeta modelos como o Essential Phone, LG G6, ZTE Blade Spark, ZTE Blade Vantage e permite que aplicações, mesmo não tendo requerido privilégios especiais, possam aceder a uma panóplia de informações sem que o utilizador se dê por isso.

ZTE, Essential e LG também já reagiram ao sucedido, afirmando que se debruçaram sobre o problema e desenvolveram atualizações para eliminar os riscos de invasão.

O entrave colocado neste momento é igualmente o desenvolvimento e disponibilização de soluções por parte das operadoras telefónicas que também aplicam alterações no sistema operativo. Para dispositivos que sejam bloqueados, as atualizações são moderadas pela operadora e existe uma tendência para que tais atualizações demorem mais tempo a serem enviadas para o utilizador.

Para além disso, apesar de ser uma atualização altamente recomendável, não é obrigatória. Deste modo, o utilizador poderá, por diversos motivos nos quais se incluí o desconhecimento, optar por não instalar a atualização, acabando por ter o seu smartphone vulnerável por tempo indeterminado.

Uma das maiores desvantagens presentes no Android – e que representa um verdadeiro fantasma na plataforma – é a insuficiente prontidão na disponibilização de atualizações de sistema. É algo que se tem verificado desde o começo do sistema operativo e a ação por parte de terceiros, fabricantes e operadoras, na conceção e personalização do sistema operativo dificulta ainda mais essa realidade.