Actualiza YA si tienes Android 7, 8 ó 9: un vídeo puede hackear 1.500 millones de móviles

Menudos 4 últimos meses llevan los usuarios de smartphones Android, porque está siendo un no parar de peligros para sus móviles: A mediados marzo se detectaron más de 200 aplicaciones infectadas por un código malicioso apodado como “Simbad” en la tienda oficial Google Play, y que afectaron a 150 millones de usuario; en mayo tuvimos otro caso de apps con malware que habían sobrepasado los mecanismos de seguridad de Google. Y hace apenas una semana, Google Play eliminaba 7 apps de su tienda porque se dedicaban a espiar a quien las llevaba en su smartphone sin saberlo. Pero preparáos, porque lo de hoy es peor: una vulnerabilidad grave que ataca a tres versiones de Android nada menos.

Hackearte el móvil con sólo un vídeo

Lo primero es que si tienes un móvil con Android 7 Nougat, Android 8 Oreo o Android 9 Pie, actualices inmediatamente el dispositivo con el parche de seguridad más reciente que haya -Ajustes > Actualización de Software-, porque si no ahora mismo tu smartphone forma parte de los 1.500 millones de terminales Android en todo el mundo que están en riesgo de ser hackeados por culpa de una nueva vulnerabilidad.

Conocida como CVE-2019-2107, la vulnerabilidad permite a un hacker “lanzar un ataque remoto usando un archivo especialmente creado para ejecutar código arbitrario”, según se reseña en el boletín oficial de Android Security de julio 2019. Este “archivo creado“ puede ser por ejemplo un simple vídeo que vaya cargado de ‘Payload’ -si un ‘exploit’ es una vulnerabilidad, un ‘payload’ es la carga que activa y ejecuta ese exploit.

Bajo la vulnerabilidad CVE-2019-2107, cualquier usuario con un smartphone con Android 7, 8 ó 9 que no haya sido actualizado esta semana y que reciba y abra un vídeo de estos, le estará abriendo la puerta al hacker para que tenga acceso a su dispositivo.

1.500 millones de móviles Android en peligro

Como vemos, Google ha reaccionado y lanzado una actualización de seguridad que corrige esta vulnerabilidad en las tres versiones del sistema operativo Android. Según sus registros, en Mayo de este año había 2.500 millones de móviles Android en activo, y de esos un 58% (que suponen unos 1.500 millones de móviles) usan versiones Android potencialmente expuestas a esta vulnerabilidad.

El desarrollador Marcin Kzlowski ha subido una prueba del vector de ataque que usa CVE-2019-2107 al site GitHub, señalando que el hack sirve por ejemplo si recibimos un correo de Gmail con el vídeo adosado -porque la app de Gmail carga el vídeo con el reproductor por defecto de Android, a no ser que utilices otro. Es por ello que varios expertos han señalado que si el vídeo cargado con Payload es mostrado de otras maneras, como a través de YouTube, WhatsApp o Messenger, perdería su efectividad, ya que estas plataformas y apps re-codifican los vídeos antes de reproducirlo. Una teoría secundada por el propio Kzlowski.