Google: una patch Android contro il phishing

Stando a quanto riportato dal team FireEye,

avrebbe risolto un problema relativo alla sicurezza del sistema operativo Android, per lungo tempo rimasto a disposizione dei malintenzionati. La falla poteva essere sfruttata da un’applicazione maligna per cambiare le icone delle altre app installate, ingannando così l’utente e spingendolo in modo fraudolento verso siti in cui carpire informazioni sensibili come username e password, attraverso l’ormai consolidata pratica del phishing.

A rendere possibile tutto questo l’abuso di due autorizzazioni, “com.android.launcher.permission.READ_SETTINGS” e “com.android.launcher.permission.WRITE_SETTINGS”, che di fatto permettevano di agire direttamente sugli elementi del launcher come le icone. Fino a prima che fosse introdotta la patch correttiva, le autorizzazioni erano etichettate come “normali”, poiché ritenute non a rischio malware. In questo modo, all’atto dell’installazione di un’app malevola l’utente non era avvisato con un messaggio esplicito.

Sfruttando queste autorizzazioni “normali”, un’app maligna può rimpiazzare le icone originali nelle schermate di Android con altre fasulle, che una volta premute portano direttamente ad applicazioni o siti Web realizzati ad hoc per il phishing.

I test necessari a verificare la pericolosità della falla sono stati condotti sul tablet Nexus 7 di seconda generazione, con equipaggiato il sistema operativo Android 4.2.2 Jelly Bean, per mezzo di un’app caricata temporaneamente su Play Store e sviluppata con l’intento di simulare un attacco di questo tipo. A quanto dichiara il team, il software non è stato in alcun modo bloccato dai controlli automatici all’atto della pubblicazione sulla piattaforma di bigG.

FireEye, che per primo si è accorto del pericolo, lo ha comunicato a Google nell’ottobre 2013, con il gruppo di Mountain View che è corso ai ripari fornendo una patch ai propri partner OEM nel febbraio 2014. Da lì in poi è stato compito dei singoli produttori introdurre la correzione nel software in dotazione ai propri smartphone e tablet, attraverso il rilascio di un aggiornamento.