Google e Samsung corrigem falha no Android que afetava câmeras e microfones

A Google e a Samsung anunciaram que corrigiram uma falha no Android que possibilitava que aplicativos invasores gravassem vídeos, áudios e captasse imagens sem a permissão dos usuários. A conhecida vulnerabilidade também está presente em aparelhos de outras marcas, mas ainda não há previsão para a correção nestes aparelhos.

Essa falha, que foi descoberta por pesquisadores da empresa de segurança Checkmarx, representava um risco potencial à privacidade de alvos de alto valor, como os praticados por espiões patrocinados por governos pelo mundo. A Google projetou cuidadosamente seu sistema operacional Android para impedir que aplicativos acessem câmeras e microfones sem permissão explícita dos usuários finais.

Uma investigação publicada na última terça-feira (19) mostrou que era simples ignorar essas restrições e descobriu que um aplicativo não precisava de permissões para fazer a câmera tirar fotos e gravar vídeo e áudio. Para carregar as imagens e o vídeo - ou qualquer outro arquivo de mídia armazenado no telefone - em um servidor controlado por invasor, um app precisava apenas de permissão para acessar o armazenamento, um dos direitos de uso mais comuns.

A vulnerabilidade, que tem o código de rastreio CVE-2019-2234, também permitiu que possíveis invasores tivessem acesso à localização física do dispositivo por meio dos dados do GPS, que também podem ser incorporados a imagens ou vídeos.

"A capacidade de um aplicativo recuperar informações da câmera, microfone e localização GPS é considerada altamente invasiva pela própria Google", escreveu Erez Yalon, diretor de pesquisa de segurança da Checkmarx.

Nas sombras? Nem tanto

Para demonstrar como essa falha no Android poderia atuar, a Checkmarx desenvolveu um aplicativo não autorizado de prova de conceito que a explorava no aparelho. Ele se disfarçou como um app de clima, mas que tinha funções ocultas como:

• Tirar fotos e gravar vídeos, mesmo com o telefone bloqueado, a tela desligada ou o aplicativo fechado
• Obter dados de GPS incorporados a qualquer foto ou vídeo armazenado no telefone
• Escutar e gravar conversas telefônicas e, ao mesmo tempo, gravar vídeos ou tirar fotos
• Silenciar o obturador da câmera para dificultar a detecção da espionagem
• Transferir qualquer foto ou vídeo armazenado no telefone para um servidor controlado pelo invasor
• Listar e baixar qualquer imagem JPG ou vídeo MP4 armazenado no cartão SD do telefone

Um eventual ataque não passaria despercebido. A tela de um dispositivo invadido exibiria a câmera enquanto ela estivesse sendo usada, não importando a atividade. Ainda assim, o ataque seria capaz de capturar vídeo, som e imagens nos momentos em que a tela do telefone estivesse sem ser usada, como quando bloqueamos, por exemplo. Isso foi possível porque o aplicativo conseguiu usar o sensor de proximidade para determinar quando o dispositivo está voltado para baixo.

Este app falso da Checkmarx também foi capaz de usar o sensor de proximidade de um telefone para detectar quando ele estava preso ao ouvido do alvo, como costuma acontecer durante as chamadas telefônicas. O aplicativo conseguiu gravar a voz tanto do emissor da ligação, quanto do receptor. Como citamos acima, ele também poderia gravar vídeos ou capturar imagens ao mesmo tempo em que fazia a ligação, um recurso útil no caso de a parte traseira do telefone estar de frente para um quadro branco ou algo mais interessante para um invasor. O vídeo abaixo demonstra como isso pode ser feito:

A Google corrigiu o problema em sua linha de dispositivos Pixel com uma atualização de câmera que ficou disponível em julho. A Checkmarx disse que a Samsung também corrigiu a vulnerabilidade, embora não esteja claro quando isso aconteceu. A empresa disse, também, que a Google indicou que telefones Android de outros fabricantes também podem estar vulneráveis. Os fabricantes e modelos específicos, no entanto, não foram divulgados.

"Agradecemos a Checkmarx por chamar nossa atenção e por trabalhar com parceiros da Google e Android para coordenar a divulgação. O problema foi resolvido em dispositivos afetados por meio de uma atualização da Play Store para o Google Camera Application em julho de 2019. Um patch também foi disponibilizado para todos os parceiros", disse a Google, em comunicado.

"Desde que fomos notificados sobre esse problema pela Google, posteriormente lançamos patches para proteger todos os modelos de dispositivos Samsung que possam ser afetados. Valorizamos nossa parceria com a equipe do Android que nos permitiu identificar e solucionar esse problema diretamente", disse a Samsung, em nota à imprensa.

A declaração não dizia quando a Samsung lançou a correção ou como os clientes da Samsung podem verificar se o patch foi instalado.

Fonte: ARS Technica