Vulnerabilidad permite acceder a datos en Android

Los dispositivos móviles son actualmente uno de  los principales  objetivos de los cibercriminales. Cada día vamos descubriendo nuevas amenazas que afectan a los diversos sistemas operativos que componen el panorama de dispositivos móviles. Si hace poco informábamos sobre la aparición de una peligrosa y sofisticada amenaza para dispositivos Android, ahora y gracias al Inteco, nos enteramos del descubrimiento de una vulnerabilidad  en el propio sistema que permitiría a un atacante acceder a la tarjeta de memoria de nuestro dispositivo y robar datos de la misma sin que el usuario se diese cuenta.

Un atacante podría preparar una página web que se aprovechase de esta vulnerabilidad, descargar un archivo malicioso en una ubicación predeterminada de la tarjeta de memoria y, mediante Javascript, ejecutar dicho archivo, usando el navegador por defecto que el sistema Android incorpora. La vulnerabilidad también permitiría a un atacante obtener datos confidenciales almacenados en el navegador como pueden ser las contraseñas almacenadas en el mismo, cookies, marcadores o historial de navegación, además de información del sistema como la versión del kernel que se esté usando, pudiendo usar toda esta información para lanzar ataques más especializados contra usuarios en concreto. Asimismo, los datos almacenados en la tarjeta de memoria se podrían obtener sin conocimiento del usuario puesto que estos se almacenan en ubicaciones y con nomenclaturas predecibles.

Este fallo de seguridad afecta a todas las versiones de Android actuales (2.2 e inferiores) y se prevé esté solucionado en la futura versión 2.3, de nombre en clave Gingerbread. Para los usuarios que quieran evitar ser víctimas de ataques que aprovechen esta vulnerabilidad, desde el laboratorio de ESET en Ontinet.com aconsejamos utilizar navegadores que no sean el que lleva el sistema Android por defecto como Opera Mobile, Skyfire o la versión beta de Firefox 4 portatil. Asimismo, recomendamos tomar precauciones a la hora de abrir enlaces recibidos tanto de remitentes conocidos como desconocidos.

Josep Albors.