La vulnerabilidad afectaría aproximadamente a el 77,5% del total de dispositivos móviles con el sistema operativo Android.
Una deficiencia detectada en el diseño de una herramienta de Android puede permitir a los ciberdelincuentes, de forma remota y sin conocimiento de sus víctimas, capturas de pantalla o de conversaciones en el 77% de dispositivos móviles con este sistema operativo, según la empresa de seguridad Check Point.
Investigadores de la compañía de ciberseguridad Check Point han descubierto una vulnerabilidad en Android a través de la que es posible realizar capturas de pantalla o grabar audio de forma remota sin el consentimiento del usuario del dispositivo móvil. Esta vulnerabilidad afecta a las versiones 5.0, 6.0 y 7.0 del sistema operativo.
Según ha explicado Check Point en un comunicado, este fallo de seguridad está basado en el servicio MediaProjection, implantado en Android 5.0 Lollipop para el uso de aplicaciones de terceros. Esta vulnerabilidad permite usar una pantalla superpuesta sobre los permisos de usuario para el uso de este servicio por parte de las 'apps', de modo que la víctima otorga los derechos sin ser consciente de ello.
La compañía israelí ha concretado que Google ha solucionado este fallo en la reciente versión 8.0 Oreo de Android, pero se mantiene sin corrección en las ediciones 5.0 Lollipop, 6.0 Marshmallow y 7.0 Nougat. Según Check Point, los dispositivos móviles que emplean estas versiones del sistema operativo y que, por tanto, están expuestos a esta vulnerabilidad representan aproximadamente el 77,5% del total en todo el mundo.
Mensajes falsos para obtener permisos
Check Point ha precisado que el uso de MediaProjection por parte de una 'app' no cuenta con una ventana específica de autorización por parte del usuario, como sí lo tienen otras funciones como el acceso a los contactos o a la ubicación. En su lugar, aparece una ventana distinta, conocida como SystemUI, cuando una aplicación trata de acceder a este servicio.
Según los investigadores de la empresa de ciberseguridad, un 'software' es capaz de detectar el momento en que SystemUI está a punto de aparecer y mostrar un mensaje falso que oculta el original y que persuade al usuario del dispositivo para que autorice el acceso a MediaProjection.
Una vez concedidos estos permisos, la aplicación maliciosa puede realizar capturas de pantalla y grabar audio, aunque aparecerá un indicador en la barra de notificaciones. No obstante, Check Point ha comentado que la mayoría de usuarios "probablemente no entienda su verdadero significado".
La táctica de pantalla superpuesta, conocida como 'clickjacking', es un método muy frecuente en el 'malware' bancario y el 'ransomware'. A pesar de que Google ha hecho esfuerzos "significativos" para mitigar esta estrategia, todavía es una "vía exitosa" de engaño para la obtención de credenciales, ha explicado la empresa israelí.
