Seu smartphone Android pode ser hackeado apenas ao reproduzir um vídeo malicioso

Cuidado! Apenas abrir um vídeo no Android pode hackear seu smartphone

Mais de um bilhão de dispositivos executando versões entre Android 7.0 Nougat e Android 9.0 Pie estão enfrentando uma vulnerabilidade crítica de execução remota de código (RCE), relata o The Hacker News.

A falha crítica de RCE (CVE-2019-2107) em questão reside na estrutura de mídia do Android que é usada para reprodução de mídia. A vulnerabilidade, se explorada, permite que um hacker lance um ataque remoto usando um arquivo especialmente criado para executar código arbitrário no smartphone alvo.

O atacante simplesmente precisa incentivar o usuário a reproduzir um arquivo de vídeo malicioso especialmente elaborado através do reprodutor de vídeo nativo do Android ou de um aplicativo de vídeo de terceiros que utiliza a estrutura de mídia do Android. Ele pode então, com um payload, obter uma elevação de privilégios e, em seguida, controle total do dispositivo.

No início deste mês, o Google lançou uma atualização de segurança para essa vulnerabilidade crítica.

“A vulnerabilidade mais severa nesta seção [estrutura de mídia] poderia permitir que um atacante remoto usando um arquivo especialmente elaborado executasse código arbitrário dentro do contexto de um processo privilegiado”, descreveu o Google a vulnerabilidade em seu Boletim de Segurança Android de julho. No entanto, há milhões de smartphones Android que ainda são vulneráveis, pois ainda não receberam a última atualização de segurança .

Para piorar a situação, Marcin Kozlowski, um desenvolvedor Android baseado na Alemanha, carregou uma prova de conceito para esse ataque no GitHub, que torna possível travar dispositivos via um arquivo de vídeo. A PoC também inclui detalhes sobre como conduzir RCE em telefones LineageOS e Samsung.

Embora a PoC (um vídeo codificado em HEVC) compartilhada por Kozlowski apenas trave o reprodutor de mídia, o pesquisador alerta que é possível executar código arbitrário em dispositivos alvo com um vídeo corretamente preparado.

Vale ressaltar que o ataque não funciona se vídeos maliciosos forem recebidos através de plataformas de mídia social como Twitter, WhatsApp, YouTube ou Messenger, pois esses serviços, antes de enviar, geralmente comprimem vídeos e reencodificam arquivos de mídia, o que altera o código malicioso embutido.

Relacionado - Aplicativos Android estão coletando dados dos usuários mesmo após a permissão ser negada

Portanto, os usuários são aconselhados a evitar baixar e reproduzir vídeos aleatórios de fontes desconhecidas ou não confiáveis. Os usuários também são recomendados a instalar a última atualização de segurança do Android assim que um patch estiver disponível.