Un error de Android permite a los piratas informáticos instalar malware a través de la transmisión NFC

Imagen: Jonás Leupe

Google corrigió el mes pasado un error de Android que puede permitir a los piratas informáticos propagar malware a un teléfono cercano a través de una característica poco conocida del sistema operativo Android llamada transmisión NFC.

La transmisión NFC funciona a través de un servicio interno del sistema operativo Android conocido como Android Beam. Este servicio permite que un dispositivo Android envíe datos como imágenes, archivos, vídeos o incluso aplicaciones a otro dispositivo cercano mediante ondas de radio NFC (Near-Field Communication), como alternativa a WiFi o Bluetooth.

Normalmente, las aplicaciones (archivos APK) enviadas mediante transmisión NFC se almacenan en el disco y se muestra una notificación en la pantalla. La notificación pregunta al propietario del dispositivo si desea permitir que el servicio NFC instale una aplicación de una fuente desconocida.

Pero, en enero de este año, un investigador de seguridad llamado Y. Shafranovich descubrió que las aplicaciones enviadas a través de NFC en Android 8 (Oreo) o versiones posteriores no mostraban este mensaje. En cambio, la notificación permitiría al usuario instalar la aplicación con un solo toque, sin ninguna advertencia de seguridad.

Si bien la falta de un mensaje parece poco importante, este es un problema importante en el modelo de seguridad de Android. Los dispositivos Android no pueden instalar aplicaciones de “fuentes desconocidas”, ya que cualquier cosa instalada desde fuera de la Play Store oficial se considera no confiable y no verificada.

Si los usuarios desean instalar una aplicación desde fuera de Play Store, deben visitar la sección “Instalar aplicaciones de fuentes desconocidas” de su sistema operativo Android y habilitar la función.

Hasta Android 8, esta opción “Instalar desde fuentes desconocidas” era una configuración para todo el sistema, igual para todas las aplicaciones. Pero, a partir de Android 8, Google rediseñó este mecanismo para convertirlo en una configuración basada en aplicaciones.

En las versiones modernas de Android, los usuarios pueden visitar la sección “Instalar aplicaciones desconocidas” en la configuración de seguridad de Android y permitir que aplicaciones específicas instalen otras aplicaciones. Por ejemplo, en la imagen a continuación, las aplicaciones de Chrome y Dropbox para Android pueden instalar aplicaciones, similares a la aplicación Play Store, sin ser bloqueadas.

Imagen:

El error CVE-2019-2114 residió en el hecho de que la aplicación Android Beam también estaba en la lista blanca, recibiendo el mismo nivel de confianza que la aplicación oficial de Play Store.

Google dijo que esto no estaba destinado a suceder, ya que el servicio Android Beam nunca fue pensado como una forma de instalar aplicaciones, sino simplemente como una forma de transferir datos de un dispositivo a otro.

Los parches de Android de octubre de 2019 eliminaron el servicio Android Beam de la lista blanca de fuentes confiables del sistema operativo.

Sin embargo, muchos millones de usuarios siguen en riesgo. Si los usuarios tienen habilitados el servicio NFC y el servicio Android Beam, un atacante cercano podría instalar malware (aplicaciones maliciosas) en sus teléfonos.

Dado que no aparece ningún mensaje para una instalación desde una fuente desconocida, al tocar la notificación se inicia la instalación de la aplicación maliciosa. Existe el peligro de que muchos usuarios malinterpreten el mensaje como si viniera de Play Store e instalen la aplicación pensando que es una actualización.

Cómo protegerte

Hay buenas y malas noticias. La mala noticia es que la función NFC está habilitada de forma predeterminada en la mayoría de los dispositivos recién vendidos. Es posible que muchos propietarios de teléfonos inteligentes Android ni siquiera sepan que NFC está habilitado incluso en este momento.

La buena noticia es que las conexiones NFC se inician sólo cuando dos dispositivos se acercan entre sí a una distancia de 4 cm (1,5 pulgadas) o menos. Esto significa que un atacante necesita acercar mucho su teléfono al de la víctima, algo que no siempre es posible.

Para mantenerse seguro, cualquier usuario puede desactivar tanto la función NFC como el servicio Android Beam.

Si usan sus teléfonos Android como tarjetas de acceso o como solución de pago sin contacto, pueden dejar NFC activado, pero desactivar el servicio Android Beam (consulte la imagen a continuación). Esto bloquea la transmisión de archivos NFC, pero aún permite otras operaciones NFC.

Imagen:

Así que no hay necesidad de entrar en pánico. Simplemente deshabilite Android Beam y NFC si no los necesita, o actualice su teléfono para recibir las actualizaciones de seguridad de octubre de 2019 y continúe usando NFC y Beam como de costumbre.

Un informe técnico sobre CVE-2019-2114 está disponible aquí.