Los atacantes pueden forzar dispositivos Android a un bucle de arranque continuo mediante una aplicación especialmente diseñada que no requiere permisos y solo necesita ser instalada. Para causar esta denegación de servicio persistente, la app desencadena una vulnerabilidad bautizada como 'GhostMap' que hace que Android asigne un archivo a una región de memoria no asignada. El proceso afectado se bloquea cuando intenta leer desde esa región.
La empresa rumana de ciberseguridad Bitdefender descubrió el fallo mientras analizaba un troyano bancario para Android que colapsaba repetidamente sus emuladores al intentar leer un recurso de una aplicación.
Los investigadores demostraron la vulnerabilidad creando una app que no contiene código ejecutable, no solicita permisos durante la instalación y no necesita ser abierta en el dispositivo. Según la compañía, Google conoce GhostMap desde agosto, pero cerró el problema sin publicar un parche, clasificándolo como 'no reproducible'.
Dejar los teléfonos inutilizables
En un informe publicado hoy, Bitdefender explica que GhostMap se origina en dos bibliotecas de Android que interpretan los métodos de compresión ZIP de manera diferente. Esto permite que un APK malformado (archivo de paquete de Android) evite las comprobaciones de tamaño y se asigne más allá del contenido real del archivo.
Leer una entrada de este tipo provoca un SIGBUS (una señal enviada por la CPU para detener un proceso que accede a un espacio de memoria no válido) en cualquier proceso que toque el archivo.
Para demostrar el efecto del bucle de bloqueo, Bitdefender creó una app que contiene un recurso que el servicio central de Android 'system_server' intenta leer automáticamente tras la instalación. La lectura desencadena el fallo y reinicia el proceso, lo que hace que vuelva a leer el mismo recurso y se bloquee de nuevo en un bucle sin fin.
Durante las pruebas, los investigadores utilizaron un dispositivo Pixel 10 con Android 17 y el parche de seguridad del 5 de agosto. El dispositivo comenzó la cadena de bloqueos aproximadamente un segundo después de instalar la app, repitiéndose el bucle 110 veces en modo de arranque normal y 72 veces en modo seguro.
Bitdefender advierte que el bucle de arranque también impide a los usuarios acceder al Modo Seguro, que normalmente proporcionaría una forma de solucionar el problema y restaurar el dispositivo.
Detener los bloqueos es posible de dos maneras: restableciendo de fábrica el dispositivo, lo que borra todos los datos almacenados localmente, o eliminando el archivo malformado mediante ADB. Sin embargo, usar ADB requiere que la opción de depuración ya esté activada en el dispositivo. Además, la restauración mediante ADB requiere que los scripts actúen antes de que el sistema se bloquee.
Respuesta de Google
Bitdefender reportó el problema a Google el 20 de agosto, pero recibió una respuesta de 'No se corregirá (no reproducible)', con el argumento de que el problema está fuera del alcance. Los investigadores enviaron una versión ampliada el 25 de agosto, creyendo que Google había clasificado mal el informe original. La tecnológica siguió considerando que estaba fuera del alcance de una actualización de seguridad, aunque lo reservó para considerarlo en una futura actualización.
BleepingComputer se ha puesto en contacto con Google para preguntar sobre el estado de la corrección de GhostMap, pero aún espera una respuesta.
Bitdefender afirma que la única oportunidad de bloquear el ataque es durante la instalación, y señala que las herramientas de seguridad de terceros pueden ayudar a detectar una posible amenaza y mostrar una advertencia, pero no tienen permiso para bloquear la instalación.
Deja una respuesta