Segurança digital X 21 apps

A popularidade crescente dos smartphones traz novos desafios à segurança da informação, pois une dois elementos essenciais para a multiplicação do incentivo à ação dos atacantes: a presença de alvos contendo informações valiosas ou negociáveis, e uma população grande o suficiente para fazer compensar o esforço de desenvolvimento e disseminação dos ataques.

Os casos vêm se multiplicando, especialmente na plataforma Android, cujo repositório central de apps impõe poucas barreiras à inclusão de softwares pelos interessados – mas até mesmo a controlada e restritíssima App Store da Apple já tropeçou em softwares que traziam funcionalidades ocultas.

Um exemplo bastante ilustrativo ocorreu no Android Market na semana passada, e levou a mais de 50.000 downloads de 21 apps comprometidas, todas levadas ao Market por um mesmo usuário (já removido).

E não foi nenhum tipo leve de comprometimento: além de obter acesso de root nos aparelhos, as apps enviavam para fora informações confidenciais do aparelho, e criavam uma porta dos fundos para a instalação de malwares adicionais – um exemplo clássico de cavalo de troia.

Para ficar ainda mais clássico, esse conjunto de malwares também fez uso do manjadíssimo truque de ser oferecido como versões gratuitas de aplicativos com funcionalidades populares ou bastante procuradas. Alguns dos títulos das apps desta vez eram “Super Ringtone Maker”, “Screaming Sexy Japanese Girls”, “App Uninstaller” e “Super Guitar Solo”.

A partir da disponibilização, também da maneira clássica, os próprios usuários do Android Market se encarregam de infectar a si próprios ao fazer os downloads.

Como a fonte é insuspeita, muitas vezes é possível que o usuário passe um bom tempo sem perceber a infecção – a não ser que desconfie dos frequentes acessos à Internet provocados pelo malware para tentar enviar as informações aos seus desenvolvedores, ou de mudanças de comportamento do seu aparelho.

Mas neste caso específico houve um diferencial: as aplicações intencionalmente contaminadas acabaram sendo encontradas pelo site AndroidPolice (após pelo menos 50.000 downloads delas terem sido completados), que avisou o Google provocando assim a retirada dos aplicativos do Market e o comando de remoção das versões instaladas nos aparelhos dos usuários que as obtiveram.

Infelizmente, como havia uma porta dos fundos que permitia a execução de comandos adicionais nos aparelhos infectados, a remoção do aplicativo pode não ser suficiente para restaurar a segurança de seu uso – neste caso, é possível que só uma reinstalação do sistema ofereça a plena garantia.

A falha explorada pelos aplicativos em questão já havia sido corrigida (a partir do Android 2.2.2), mas as políticas de fabricantes que não facilitam a atualização de versão por parte de seus usuários contribui para a ampliação desse risco.

Reduzi-lo, ou mesmo encontrar uma forma de oferecer garantia de procedência e de ausência de funcionalidades suspeitas nos aplicativos para as plataformas móveis, é do interesse dos desenvolvedores, dos distribuidores e dos usuários.

Esperar que os proponentes e distribuidores das principais plataformas resolvam o problema pode não ser suficiente: cabe a cada um de nós rejeitar as políticas insuficientemente seguras que possam no futuro comprometer nossa situação – seja como usuário ou, principalmente, como desenvolvedor ou integrante da cadeia de serviços!