Actualiza YA si tienes Android 7, 8 ¨® 9: un v¨ªdeo puede hackear 1.500 millones de m¨®viles

Menudos 4 ¨²ltimos meses llevan los usuarios de smartphones Android, porque est¨¢ siendo un no parar de peligros para sus m¨®viles: A mediados marzo se detectaron m¨¢s de 200 aplicaciones infectadas por un c¨®digo malicioso apodado como ¡°Simbad¡± en la tienda oficial Google Play, y que afectaron a 150 millones de usuario; en mayo tuvimos otro caso de apps con malware que hab¨ªan sobrepasado los mecanismos de seguridad de Google. Y hace apenas una semana, Google Play eliminaba 7 apps de su tienda porque se dedicaban a espiar a quien las llevaba en su smartphone sin saberlo. Pero prepar¨¢os, porque lo de hoy es peor: una vulnerabilidad grave que ataca a tres versiones de Android nada menos.

Hackearte el m¨®vil con s¨®lo un v¨ªdeo

Lo primero es que si tienes un m¨®vil con Android 7 Nougat, Android 8 Oreo o Android 9 Pie, actualices inmediatamente el dispositivo con el parche de seguridad m¨¢s reciente que haya -Ajustes > Actualizaci¨®n de Software-, porque si no ahora mismo tu smartphone forma parte de los 1.500 millones de terminales Android en todo el mundo que est¨¢n en riesgo de ser hackeados por culpa de una nueva vulnerabilidad.

Conocida como CVE-2019-2107, la vulnerabilidad permite a un hacker ¡°lanzar un ataque remoto usando un archivo especialmente creado para ejecutar c¨®digo arbitrario¡±, seg¨²n se rese?a en el bolet¨ªn oficial de Android Security de julio 2019. Este ¡°archivo creado¡° puede ser por ejemplo un simple v¨ªdeo que vaya cargado de ¡®Payload¡¯ -si un ¡®exploit¡¯ es una vulnerabilidad, un ¡®payload¡¯ es la carga que activa y ejecuta ese exploit.

Bajo la vulnerabilidad CVE-2019-2107, cualquier usuario con un smartphone con Android 7, 8 ¨® 9 que no haya sido actualizado esta semana y que reciba y abra un v¨ªdeo de estos, le estar¨¢ abriendo la puerta al hacker para que tenga acceso a su dispositivo.

1.500 millones de m¨®viles Android en peligro

Como vemos, Google ha reaccionado y lanzado una actualizaci¨®n de seguridad que corrige esta vulnerabilidad en las tres versiones del sistema operativo Android. Seg¨²n sus registros, en Mayo de este a?o hab¨ªa 2.500 millones de m¨®viles Android en activo, y de esos un 58% (que suponen unos 1.500 millones de m¨®viles) usan versiones Android potencialmente expuestas a esta vulnerabilidad.

El desarrollador Marcin Kzlowski ha subido una prueba del vector de ataque que usa CVE-2019-2107 al site GitHub, se?alando que el hack sirve por ejemplo si recibimos un correo de Gmail con el v¨ªdeo adosado -porque la app de Gmail carga el v¨ªdeo con el reproductor por defecto de Android, a no ser que utilices otro. Es por ello que varios expertos han se?alado que si el v¨ªdeo cargado con Payload es mostrado de otras maneras, como a trav¨¦s de YouTube, WhatsApp o Messenger, perder¨ªa su efectividad, ya que estas plataformas y apps re-codifican los v¨ªdeos antes de reproducirlo. Una teor¨ªa secundada por el propio Kzlowski.