Millones de teléfonos Android en riesgo debido a una falla de seguridad en los chips de Qualcomm

Los investigadores de Check Point, una firma de ciberseguridad, han descubierto vulnerabilidades en el chip procesador de señal digital (DSP) Qualcomm Snapdragon que pueden permitir a los atacantes obtener fotos, videos, grabaciones de llamadas, información de ubicación y otros datos de teléfonos Android.

Los DSP son un sistema en un chip que contiene hardware y software diseñados para soportar capacidades de carga (como las funciones de “carga rápida”), experiencias multimedia como video y captura en HD, capacidades avanzadas de AR y varias características de audio. Casi todos los teléfonos inteligentes modernos incluyen al menos uno de estos chips.

Además, el chip Snapdragon de Qualcomm es uno de los chips más comúnmente utilizados en teléfonos inteligentes Android, como Google, Samsung, LG, Xiaomi, OnePlus y otros fabricantes de dispositivos, lo que representa casi el 40% del mercado general de teléfonos inteligentes.

En su informe “Aquiles: pequeño chip, gran peligro”, Check Point señaló que se encontraron más de 400 piezas de código vulnerable dentro del chip DSP. Estas vulnerabilidades podrían tener el siguiente impacto en los usuarios de teléfonos con el chip afectado:

• Los atacantes pueden convertir el teléfono en una herramienta de espionaje perfecta, sin necesidad de interacción del usuario: la información que puede ser exfiltrada del teléfono incluye fotos, videos, grabaciones de llamadas, datos de micrófono en tiempo real, datos de GPS y ubicación, etc.

• Los atacantes pueden ser capaces de hacer que el teléfono móvil sea constantemente no responsivo: haciendo que toda la información almacenada en este teléfono esté permanentemente indisponible, incluyendo fotos, videos, detalles de contacto, etc., en otras palabras, un ataque de denegación de servicio dirigido.

• El malware y otro código malicioso pueden ocultar completamente sus actividades y volverse irreparables.

A pesar de los riesgos mencionados por estas vulnerabilidades, Check Point no ha encontrado ningún exploit en el mundo real.

“No hemos podido identificar ningún uso de estos exploits en la naturaleza”, dijo Ekram Ahmed, jefe de relaciones públicas en Check Point, a TechRepublic. “Esto, por supuesto, no significa que no se hayan utilizado, sino que no los hemos detectado en nuestra telemetría.”

Tras el descubrimiento de las vulnerabilidades, Check Point divulgó sus hallazgos a Qualcomm, que los reconoció y notificó a los fabricantes de dispositivos relevantes.

Qualcomm respondió a las vulnerabilidades corrigiéndolas y les asignó los siguientes CVE: CVE-2020-11201, CVE-2020-11202, CVE-2020-11206, CVE-2020-11207, CVE-2020-11208 y CVE-2020-11209.

“Con respecto a la vulnerabilidad del DSP de Qualcomm divulgada por Check Point, trabajamos diligentemente para validar el problema y hacer que las mitigaciones apropiadas estén disponibles para los OEM. No tenemos evidencia de que esté siendo explotado actualmente. Animamos a los usuarios finales a actualizar sus dispositivos a medida que se dispongan parches y a instalar solo aplicaciones de lugares de confianza como Google Play Store”, dijo un portavoz de Qualcomm en un comunicado.

“Aunque Qualcomm ha solucionado el problema, lamentablemente no es el final de la historia. Cientos de millones de teléfonos están expuestos a este riesgo de seguridad. Puedes ser espiado. Puedes perder todos tus datos. Nuestra investigación muestra el complejo ecosistema en el mundo móvil. Con una larga cadena de suministro integrada en cada uno de los teléfonos, no es trivial encontrar problemas profundamente ocultos en los teléfonos móviles, pero tampoco es trivial solucionarlos”, dijo Yaniv Balmas, jefe de investigación cibernética en Check Point, en un comunicado de prensa.

Si bien la corrección de las vulnerabilidades por parte de Qualcomm es solo el primer paso, ahora corresponde a los proveedores móviles implementar los parches necesarios. Hasta entonces, Check Point Research ha decidido no publicar los detalles técnicos completos hasta que los proveedores móviles tengan una solución integral para mitigar los posibles riesgos descritos.

“Suponemos que tomará meses o incluso años mitigar completamente esto. Si se encuentran y utilizan tales vulnerabilidades por actores maliciosos, encontrará a millones de usuarios de teléfonos móviles con casi ninguna forma de protegerse durante mucho tiempo. Ahora depende de los proveedores, como Google, Samsung y Xiaomi, integrar esos parches en toda su línea de teléfonos, tanto en fabricación como en el mercado”, dijo Balmas.