Em setembro deste ano foi identificada uma grave vulnerabilidade no sistema operacional Android, que permite aos cibercriminosos executarem, de forma remota, um comando USSD, para bloquear o cartão SIM ou “resetar” o smartphone – para a configuração de fábrica –, apagando assim todas as informações do usuário contidas no dispositivo móvel. Em resposta, a ESET acaba de lançar uma ferramenta gratuita para proteger os equipamentos Android.
Os códigos USSD são utilizados por empresas de telefonia e fabricantes de dispositivos móveis para realizar tarefas de suporte técnico e assistência aos clientes. Esses códigos – que normalmente começam com um asterisco e contêm uma série de dígitos – permitem realizar diversas ações remotas, entre elas, apagar informações contidas no equipamento.
Essa vulnerabilidade no Android, que foi apresentada inicialmente na conferência sobre segurança Ekoparty, realizada na Argentina, permite que os cibercriminosos executem o código malicioso no dispositivo móvel, sem qualquer intervenção do usuário. Existem diversas formas pelas quais a vulnerabilidade tem sido propagada, entre elas, o acesso à internet em redes não confiáveis e o uso de códigos QR ou de soluções de NFC (Near Field Communication) – que permitem a comunicação por proximidade.
O cibercriminoso pode acessar o smartphone das vítimas ao garantir que as mesmas entrem em um site malicioso que explora essa falha de segurança por meio do envio de um código USSD específico. Assim, qualquer usuário de smartphone com o sistema operacional Android pode estar exposto a esse tipo de ataque.
“A única forma dos usuários estarem seguros é utilizar alguma ferramenta de segurança específica para evitar esse tipo de vulnerabilidade nos smartphones com Android”, afirma Camillo Di Jorge, Country Manager da ESET Brasil. “Por isso, nossa recomendação é que os usuários baixem, o mais rápido possível, essa solução desenvolvida pela ESET”, complementa.
A versão da solução já está disponível na Google Play em: https://play.google.com/store/apps/details?id=com.eset.securedialer
