Immaginiamo che la maggior parte di voi abbiamo sentito parlare almeno una volta dell’exploit legato a Stagefright, una vulnerabilità di Android che può mettere a rischio moltissimi dispositivi; già altre volte sono state rilasciate patch e grazie agli update mensili di sicurezza di Google sono già state corrette diverse problematiche. Purtroppo (o per fortuna) alcuni ricercatori sono riusciti a scovare un’altra vulnerabilità, definendola la “peggiore mai scoperta”.
Stagefright di per sé è una libreria software scritta in C++ all’interno del sistema operativo; come forse ricorderete la prima criticità era legata alla ricezione di un MMS contenente un video che attivava il codice malevolo; il problema era stato poi risolto da Google.
La società di software israeliana NorthBit ha reso noto di aver trovato un altro bug che mette potenzialmente a rischio milioni di dispositivi dotati in particolare delle versioni 5.0 e 5.1 Lollipop, denominato “Metaphor“; il team di ricercatori è riuscito a ricreare il tutto su Nexus 5, LG G3, HTC One e Samsung Galaxy S5: qui sotto potete vedere un filmato che mostra come agisce l’exploit.
Il co-fondatore di NorthBit Gil Dabah sostiene che Metaphor riesca a bypassare la ASLR (Address Space Layout Randomisation), un processo di protezione della memoria presente su Android 5.0 e 5.1 Lollipop; secondo gli ultimi dati ben il 36 percento dei device attualmente in uso monta una di queste versioni, di conseguenza i rischi sono abbastanza alti. Sembrerebbe che le versioni antecedenti e successive (Marshmallow) a quelle in questione non siano invece vulnerabili.
Nel video qui sopra viene mostrata la semplice apertura di un link da Gmail, cosa che provoca un “attacco” in tempo reale in grado di compromettere la sicurezza del Nexus 5 in uso; l’hacker, o meglio, il cracker, otterrà in questo modo una serie di dati sul proprio PC, permettendogli di avere il controllo del device e di entrare in possesso di dati sensibili.
Sicuramente Google si metterà al lavoro al più presto per cercare di arginare la vulnerabilità e creare l’ennesima patch di sicurezza.