In occasione della convention Def Con 24 a Las Vegas i ricercatori del team mobile di Check Point Software Technologies hanno svelato quattro nuove vulnerabilità che colpiscono più di 900 milioni di smartphone e tablet Android costruiti con chipset Qualcomm. Qualcomm è il primo costruttore a livello mondiale di chipset LTE, con una quota di mercato del 65% per i modem LTE nell’ecosistema Android.

Check Point ha chiamato questo set di vulnerabilità QuadRooter. Se sfruttate, queste possono offrire agli hacker il controllo totale dei dispositivi, con accesso a tutti i dati personali sensibili, ma anche quelli aziendali. Questo accesso potrebbe inoltre fornire agli hacker la possibilità di effettuare keylogging, monitoraggio GPS, e di registrare tracce video e audio.

Le vulnerabilità sono state rinvenute nelle comunicazioni dei driver software Qualcomm con i propri chipset e un hacker potrebbe sfruttare queste vulnerabilità attraverso un’app malevola. Quest’app non avrebbe bisogno di particolari permessi per servirsi di queste vulnerabilità, il che significa che non desterebbe sospetti nell’utente. Tra i dispositivi colpiti figurano i modelli Samsung Galaxy S7 & S7 Edge, Sony Xperia Z Ultra, Google Nexus 5X, 6 e 6P, HTC One M9 e HTC 10, LG G4, G5 e V10, Motorola Moto X, OnePlus One, 2 e 3 e BlackBerry Priv.

Dato che i driver software sono pre-installati sui dispositivi quando vengono costruiti, l’unica soluzione è installare una patch rilasciata dal produttore del dispositivo, oppure dall’operatore. I distributori e gli operatori che rilasciano le patch possono farlo solo dopo aver ricevuto i driver messi in sicurezza da Qualcomm. Check Point ha comunque reso disponibile su Google Play l’app gratuita QuadRooter Scanner App. Questa individua la vulnerabilità QuadRooter, consente agli utenti Android di scoprire se il loro dispositivo Android è vulnerabile e, in caso lo fosse, di scaricare le patch per risolvere il problema.

Il processo di aggiornamento della sicurezza di Android è frammentato e deve migliorare

“La catena di fornitura è complessa, per questo ogni patch deve essere applicata e testata sulle versioni Android per ogni singolo modello di dispositivo interessato da questa falla. Questo procedimento può richiedere mesi, lasciando nel frattempo i dispositivi indifesi, e spesso gli utenti non sono consapevoli dei rischi che corrono i loro dati. Il processo di aggiornamento della sicurezza di Android è frammentato e deve migliorare” ha dichiarato Michael Shaulov, head of head of mobility product management di Check Point.

Check Point consiglia anche i seguenti step per contribuire a mantenere sicuri i dispositivi Android contro gli attacchi che cercano di sfruttare qualsiasi tipo di vulnerabilità.

• Scaricare e installare gli ultimi aggiornamenti Android appena vengono rilasciati.
• Capire il rischio legato al rooting dei dispositivi.
• Evitare le app Android side-loading (.APK files) o il download di app da terze parti, ma scaricare app solo da Google Play.
• Leggere attentamente le richieste di permessi quando si installano le app. Attenti alle app che richiedono permessi che vi sembrano strani o non necessari, o che utilizzano molti dati o molta batteria.
• Utilizzate reti wi-fi che conoscete e legali, e, se siete in viaggio, servitevi solo di quelle che hanno una fonte certa e legittima.
• Utenti finali e aziende dovrebbero valutare l’idea di servirsi di soluzioni di sicurezza mobile progettate per rilevare comportamenti sospetti su un dispositivo, compresi i malware che potrebbero essere occultati dalle app installate.

Questa invece la risposta ufficiale di Qualcomm:

“Queste vulnerabilità ci sono state segnalate dai ricercatori tra febbraio e aprile di quest’anno e tra aprile e luglio abbiamo reso disponibili le patch per tutte le vulnerabilità a clienti, partner e alla community open source, oltre a pubblicarle su CodeAurora. Qualcomm Technologies, Inc. continua a lavorare proattivamente sia internamente che con il supporto di ricercatori per identificare e indirizzare potenziali vulnerabilità della sicurezza.”