Falha de Segurança do Android Permite que Hackers Espionem Você Usando a Câmera do Seu Telefone

Uma brecha de segurança nos aplicativos de câmera do Google permitiu que hackers gravassem vídeos e tirassem fotos secretamente, mesmo quando o telefone está bloqueado, de acordo com um novo relatório da Checkmarx que descobriu a vulnerabilidade.

O bug, denominado CVE-2019-2234, foi descoberto pela Equipe de Pesquisa de Segurança da Checkmarx e está ligado a problemas de bypass de permissão.

No Android, sempre que aplicativos de terceiros são instalados, o Google faz com que os aplicativos solicitem permissão para acessar as fotos, vídeos, microfone, bem como o aplicativo de câmera padrão do telefone. No entanto, a falha permitiu que aplicativos não autorizados gravassem vídeos, tirassem fotos, gravassem áudio e registrassem locais GPS apenas solicitando permissão para acessar o armazenamento de um dispositivo.

Uma vez que o usuário concedeu ao aplicativo permissão para acessar o armazenamento, o bug ativaria a câmera e o microfone sem o conhecimento ou permissão do usuário. Em certos cenários de ataque, a falha permitiria que hackers obtivessem controle sobre o armazenamento do dispositivo, bem como acessassem os metadados GPS armazenados nas fotos e vídeos EXIF.

A falha foi acionada principalmente para atacar o aplicativo Google Camera disponível em dispositivos Pixel e o aplicativo Samsung Camera que vem pré-carregado em dispositivos Galaxy.

Para testar sua afirmação, os pesquisadores usaram o Google Pixel 2 XL e o Pixel 3 e “encontraram várias vulnerabilidades preocupantes decorrentes de problemas de bypass de permissão.”

“[O]s nossos pesquisadores determinaram uma maneira de permitir que um aplicativo malicioso forçasse os aplicativos de câmera a tirar fotos e gravar vídeos, mesmo se o telefone estiver bloqueado ou a tela estiver desligada. Nossos pesquisadores conseguiram fazer o mesmo mesmo quando um usuário estava no meio de uma chamada de voz,” escreveu o pesquisador Erez Yalon em um post no blog.

“Após uma análise detalhada do aplicativo Google Camera, nossa equipe descobriu que, manipulando ações e intenções específicas, um atacante pode controlar o aplicativo para tirar fotos e/ou gravar vídeos através de um aplicativo malicioso que não tem permissões para fazê-lo.

“Além disso, descobrimos que certos cenários de ataque permitem que atores maliciosos contornem várias políticas de permissão de armazenamento, dando-lhes acesso a vídeos e fotos armazenados, bem como aos metadados GPS incorporados nas fotos, para localizar o usuário tirando uma foto ou vídeo e analisando os dados EXIF adequados. Essa mesma técnica também se aplicou ao aplicativo Camera da Samsung.”

Tanto o Google quanto a Samsung foram informados sobre a falha do Android em julho pela Checkmarx, que foi corrigida por eles no mês seguinte através de uma atualização da Play Store.

“Agradecemos à Checkmarx por trazer isso à nossa atenção e trabalhar com o Google e parceiros do Android para coordenar a divulgação. O problema foi resolvido em dispositivos Google impactados através de uma atualização da Play Store para o Aplicativo Google Camera em julho de 2019. Um patch também foi disponibilizado para todos os parceiros,” disse o Google em um comunicado.

A Samsung, que lançou patches para abordar todos os modelos de dispositivos potencialmente afetados, afirmou em um comunicado: “Valorizamos nossa parceria com a equipe do Android que nos permitiu identificar e resolver essa questão diretamente.”

A Checkmarx observa que essa falha não está restrita apenas aos telefones Pixel do Google, o que significa que outras marcas de smartphones Android ainda podem ser potencialmente vulneráveis.

Para se proteger dessa vulnerabilidade, recomenda-se que você execute a versão mais recente do sistema operacional Android e do aplicativo de câmera. Também é sugerido que você atualize regularmente os aplicativos instalados em seu smartphone.

Também Leia - Melhor Antivírus Gratuito Para Smartphones Android