Durante seis años, los usuarios de smartphones de Samsung, estuvieron en riesgo por un fallo crítico de seguridad

Samsung lanzó una actualización de seguridad para sus populares teléfonos inteligentes Android que incluye una solución crítica para una vulnerabilidad que afecta a todos los dispositivos vendidos por el fabricante, desde 2014.

En su página de actualización de seguridad para Android, Samsung agradece al investigador Mateusz Jurczyk del Proyecto Cero de Google por el descubrimiento de la vulnerabilidad que podría -según él- ser explotada para ejecutar código malicioso en un dispositivo determinado, sin alertar al usuario.

Un ataque de este tipo, si tiene éxito, podría dar lugar a que un ciberdelincuente remoto tuviera acceso a una amplia variedad de información, incluyendo los registros de llamadas de un usuario, la libreta de direcciones, el archivo de SMS, etc.

En un video publicado en YouTube, el investigador demuestra cómo la vulnerabilidad podría ser explotada por un hacker malicioso que envía una imagen con trampa al dispositivo a través de MMS.

El archivo envenenado es una imagen personalizada de Samsung Qmage (o QMG), que explota una vulnerabilidad en el código de la biblioteca de códecs de imágenes que se utiliza en los smartphones Samsung para sobrescribir la memoria y permitir la posible ejecución remota del código.

Lo que hace que dicha vulnerabilidad sea particularmente preocupante es la afirmación de que podría hacerse sin ninguna interacción del usuario, un escenario de “cero clic” en el que, por ejemplo, un teléfono vulnerable que sólo genere una vista previa en miniatura de un mensaje de notificación podría realmente permitir un ataque.

Y no imagine que aunque un mensaje de notificación no aparezca, su teléfono inteligente emitirá un sonido cuando se reciba un mensaje envenenado. Según el investigador, aunque la demostración de prueba de concepto de su video no intenta ser silenciosa o sigilosa, “después de una breve experimentación, he encontrado formas de hacer que los mensajes MMS sean procesados completamente sin activar un sonido de notificación en Android, por lo que los ataques totalmente sigilosos podrían ser posibles”.

Con información de: Europa Press.