BlueBox Security informa del descubrimiento de una vulnerabilidad que según ellos afecta al 99% de los dispositivos con sistema operativo Android.

El equipo de investigación de esa empresa descubrió un bug que permite a un atacante modificar el código APK sin afectar la firma cifrada que permite autenticar la aplicación, haciendo pasar por legítima una aplicación modificada por un hacker, sin que los controles de seguridad de la tienda de aplicaciones, como así tampoco los usuarios, lo puedan detectar.

La vulnerabilidad no es solo en la última versión del sistema operativo, viene desde Android 1.6 (Donut).

Dependiendo del tipo de aplicación, el hacker puede ganar acceso a los datos y hasta crear un botnet móvil .  Esta vulnerabilidad no solo afecta aplicaciones de terceros, también puede afectar aplicaciones de los fabricantes del dispositivo, las cuales tienen mayores privilegios.

En CIO informan que BlueBox ya informó del problema a Google en Febrero pasado y hasta ahora Samsung solucionó el problema en su Galaxy S4 y Google actualmente está trabajando con sus dispositivos Nexus.  Probablemente otros fabricantes ya estén trabajando en el problema, aunque hasta ahora no hay una información oficial al respecto.

Bluebox recomienda lo siguiente,

1. Propietarios de dispositivos deben ser muy prudentes en la identificación del desarrollador de la aplicación que desea descargar.
2. Las empresas con que implementaron el sistema BYOD (Trae tu propio dispositivo) deben utilizar esta noticia y pedirles a los usuarios que actualicen sus dispositivos, y poner de relieve la importancia de mantener sus dispositivos actualizados.
3. Los IT deben ver esta vulnerabilidad como otro conductor para moverse más allá de la administración de dispositivos, para centrarse en el control profundo de la integridad del dispositivo y la seguridad de los datos corporativos.

[Vía CIO]