Los hackers pueden usar NFC para plantar malware en tu smartphone Android

Los smartphones que ejecutan Android 8.0 (Oreo) o superior están afectados por un error, rastreado como CVE-2019-2114, que permite a los hackers plantar malware en dispositivos cercanos a través de la transmisión NFC de manera discreta.

Sin embargo, Google lanzó recientemente un parche para abordar esta vulnerabilidad.

Para aquellos que no lo saben, la transmisión NFC (Comunicación de Campo Cercano) funciona a través de un servicio interno del sistema operativo Android conocido como Android Beam. Android Beam permite que los datos se transfieran entre dos dispositivos a través de ondas de radio NFC y también permite el intercambio rápido a corta distancia de marcadores web, información de contacto, direcciones, videos de YouTube y otros datos.

Normalmente, cuando se transfieren aplicaciones (archivos APK) a través de la transmisión NFC, se almacenan en el disco y se muestra una notificación en la pantalla. El aviso solicita al propietario del dispositivo permiso para permitir que el servicio NFC instale una aplicación de una fuente desconocida.

En enero de este año, el investigador de seguridad Y. Shafranovich descubrió que los archivos APK enviados a través de la transmisión NFC en Android 8 (Oreo) o versiones posteriores no mostrarían ninguna notificación de seguridad a los usuarios. En cambio, la notificación permitiría al usuario instalar la aplicación de una fuente desconocida con solo un toque, sin pedir ningún permiso de seguridad explícito.

Por lo general, Google muestra una advertencia de seguridad cuando instalas aplicaciones de fuentes desconocidas, ya que cualquier aplicación instalada desde fuera de la Play Store oficial se considera no confiable y no verificada. Sin embargo, ciertos servicios como Google Chrome y la aplicación de Dropbox para Android reciben el mismo nivel de confianza que la aplicación oficial de Play Store, y se pueden descargar sin ser bloqueados.

El error CVE-2019-2114 residía en el hecho de que Google incluyó en la lista blanca la función de transmisión NFC, lo cual no debía suceder. Según Google, el servicio Android Beam estaba destinado a transferir datos de un dispositivo a otro y no a instalar aplicaciones.

Google ha corregido la vulnerabilidad con los parches de Android de octubre de 2019 y ha eliminado el servicio Android Beam de la lista blanca de fuentes confiables del sistema operativo.

Sin embargo, muchos millones de usuarios de dispositivos Android que tienen el servicio NFC y el servicio Android Beam habilitados están en riesgo, ya que un atacante cercano puede explotar la falla CVE-2019-2114 para plantar malware (aplicaciones maliciosas) en teléfonos vulnerables.

“En Android 8 (Oreo) se introdujo una nueva función que requiere que los usuarios opten por el permiso de ‘Instalar aplicaciones desconocidas’ en una base de aplicación por aplicación. Sin embargo, parece que cualquier aplicación del sistema que esté firmada por Google será automáticamente incluida en la lista blanca y no pedirá al usuario este permiso. En un dispositivo estándar con sistema operativo Android, el servicio NFC es una de esas aplicaciones del sistema que tiene el permiso para instalar otras aplicaciones.” dice el análisis publicado por NightWatchCybersecurity. “Esto significa que un teléfono Android que tiene NFC y Android Beam habilitados, al tocar un teléfono malicioso o un terminal de pago NFC malicioso, puede permitir que se instale malware al eludir el aviso de ‘instalar aplicaciones desconocidas’.”

Para que el error funcione en un dispositivo Android habilitado para NFC, el atacante debe estar a una distancia de 4 cm (1.5 pulgadas) o menos, lo cual puede no ser siempre posible.

Como medida de precaución, te sugerimos que apagues las funciones NFC y Android Beam en tu smartphone. Además, te pedimos que actualices tu smartphone Android para recibir las actualizaciones de seguridad de octubre de 2019.

También lee: Mejor antivirus gratuito para smartphones Android