Es posible hackear casi cualquier teléfono android remotamente sólo con un mensaje de texto

¿Tienes un teléfono Android? Pues ten cuidado, porque los teléfonos inteligentes con Android pueden ser hackeados con un simple mensaje de texto.

Un grupo de investigadores de seguridad ha descubierto que el 95% de los dispositivos Android que ejecutan una versión del sistema operativo entre la 2.2 y 5.1, son vulnerables a un fallo de seguridad, que afecta a más de 950 millones de teléfonos inteligentes y tabletas Android.

Casi todos los dispositivos inteligentes Android disponibles en la actualidad están abiertos al ataque, que permite a los hackers acceder a los dispositivos vulnerables sin que los propietarios sean conscientes de ello, de acuerdo con Joshua Drake, vicepresidente de investigación y explotación de plataformas de la empresa de seguridad Zimperium.

La vulnerabilidad en realidad reside en un componente del núcleo de Android llamado «Stagefright», que no es más que una biblioteca de reproducción multimedia utilizada por Android para procesar, grabar y reproducir archivos multimedia como archivos PDF.

La mala noticia para la mayoría de los usuarios de Android es que la solución no ayudará a los millones de usuarios que poseen dispositivos con versiones anteriores de Android, lo que deja las puertas abiertas para que los hackers realicen ataque Stagefright.

Drake ha desarrollado y publicado un exploit que utiliza un mensaje de texto especialmente diseñado utilizando el formato de un mensaje multimedia (MMS).

Un hacker sólo necesitaría el número de teléfono del dispositivo Android de la víctima. El hacker entonces podrá enviar el mensaje malicioso, que al ser recibido ejecutará un código malicioso en el dispositivo vulnerable sin la intervención del usuario final. De hecho, el usuario podrá estar mirando la pantalla del teléfono y no se dará cuenta de nada, ya que todo ocurre en segundo plano.

Según se puede leer en el blog de Zimperium:

«Estas vulnerabilidades son extremadamente peligrosas porque no requieren que la víctima realice ningún tipo de acción para ser explotado.

A diferencia del phishing, donde la víctima tiene que abrir un archivo PDF o un enlace enviado por el atacante, esta vulnerabilidad puede ser activada mientras duermes. Antes de que despiertes, el atacante eliminarán todos los signos de que el dispositivo está en peligro, y usted continuará su día, como de costumbre, con un teléfono troyanizado.»

Según Drake, todos los dispositivos con versiones Android posteriores a la versión 2.2 (incluida) son potencialmente vulnerables, y corresponde a cada fabricante parchear sus dispositivos contra el ataque Stagefright.

Google ya ha parcheado el código, y lo han enviado a los fabricantes de dispositivos, pero los dispositivos requieren actualizaciones OTA de las empresas para poder ser actualizados. Y dada la historia inestable de los fabricantes y las operadoras de telefonía móvil a la hora de desplegar los parches de seguridad, no se sabe cuánto tiempo tienen las empresas para actualizar los dispositivos Android vulnerables contra los ataque Stagefright.

Por el momento sólo Silent Circle ha parcheado el exploit en su Blackphone, debido a que tiene Mozilla, que utiliza el código Stagefright en Firefox OS.

Drake presentará sus resultados completos, incluyendo seis técnicas adicionales de ataque para explotar la vulnerabilidad, en la conferencia de seguridad Black Hat de Las Vegas el 5 de agosto y en la DEF CON 23 el 7 de agosto.