Protocolo permite conexão com dispositivos próximos.
Falhas foram demonstradas em um Samsung Galaxy S3.
Um time de quatro pesquisadores do Reino Unido e da África do Sul demonstrou como duas falhas de segurança podem ser usadas em conjunto para comprometer celulares com Android por meio do protocolo NFC (Near Field Communications). Durante a conferência de segurança EuSecWest, que ocorre em Amsterdã, na Holanda, os especialistas usaram a falha na competição "Mobile Pwn2Own" e ganharam um prêmio de US$ 30 mil (R$ 60 mil).
O protocolo NFC permite a comunicação entre dois dispositivos próximos. Com ela, é possível enviar dados entre celulares ou entre celulares e outros dispositivos. Um uso comum da tecnologia, por exemplo, é a realização de pagamentos. No caso do ataque dos especialistas, o NFC foi usado para enviar um documento de um celular Samsung Galaxy S3 para outro.
Devido a uma falha, o sistema operacional Android automaticamente abriu o documento e, a partir disso, mais uma falha foi utilizada, permitindo que o documento fosse lido como um programa com permissões irrestritas (root). Com isso, o código pode realizar qualquer alteração no aparelho, incluindo ler dados de outros programas – o que normalmente não é permitido nem mesmo aos aplicativos cuja instalação foi autorizada pelo usuário.
O código malicioso teve de ser executado 185 vezes para conseguir ter sucesso e comprometer o celular. Feito isso, ele executou um aplicativo chamado Mercury, que extraviou todos os dados pessoais armazenados no celular, incluindo contatos, e-mails e informações de calendário.
Os celulares estavam usando o Android 4.0.4. As falhas, porém, ainda não têm correção. A vulnerabilidade poderia ser usada também em outros cenários, como e-mails, desde que o usuário abra o documento enviado.
Os pesquisadores - Tyrone Erasmus, Jacques Louw, Jon Butler e Nils – trabalham para a empresa de segurança "MWR Labs", do Reino Unido.
Ataque ao iPhone
O Android não foi o único sistema atacado durante a Mobile Pwn2Own na conferência EuSecWest. Dois pesquisadores holandeses da empresa Certified Secure também ganharam 30 mil dólares (R$ 60 mil) por explorararem uma falha no iPhone 4S.
A brecha, que também existe no iOS 6 – e, portanto, no iPhone 5 – permite que um celular da Apple seja comprometido simplesmente com a visita a uma página da internet.
O ataque expôs diversas informações do aparelho invadido, como a lista de contatos e o histórico de navegação, outras informação, como os SMSs e e-mails, não puderem ser lidos pelos pesquisadores. Segundo eles, essas informações são armazenadas de forma segura no iPhone, com criptografia.
Nenhum comentário:
Postar um comentário
deixe aqui seu comentário