Atacantes podem forçar dispositivos Android a entrar em um ciclo contínuo de reinicializações usando um aplicativo criado para esse fim. Ele não exige permissões e basta ser instalado.
Para provocar uma negação de serviço (DoS) persistente, o aplicativo explora uma vulnerabilidade que os pesquisadores chamaram de “GhostMap”. A falha faz o Android mapear um arquivo em uma região de memória não alocada. O processo afetado trava ao tentar ler essa região.
A empresa romena de cibersegurança Bitdefender descobriu a falha ao analisar um trojan bancário para Android que fazia seus emuladores travarem quando tentavam ler um recurso do aplicativo.
Os pesquisadores demonstraram a vulnerabilidade criando um aplicativo sem código executável, que não solicita permissões durante a instalação e não precisa ser aberto no dispositivo.
Segundo a Bitdefender, o Google está ciente do GhostMap desde agosto, mas encerrou o caso sem lançar um patch, classificando o problema como “não reproduzível”.
Em um relatório, a Bitdefender explica que o GhostMap decorre de duas bibliotecas do Android que interpretam de formas diferentes os métodos de compressão ZIP. Isso permite que um pacote APK malformado contorne as verificações de tamanho e seja mapeado para além do conteúdo real do arquivo.
“Ler uma entrada desse tipo provoca um SIGBUS em qualquer processo que tente acessar o arquivo. Esse sinal, enviado pela CPU, interrompe processos que acessam regiões de memória inválidas”, afirmam os pesquisadores.
Para demonstrar o ciclo de travamentos, a Bitdefender criou um aplicativo com um recurso que o serviço central do Android, chamado `system_server`, tenta ler automaticamente após a instalação.
A leitura aciona a falha e reinicia o processo. Em seguida, ele tenta ler o mesmo recurso e trava novamente, em um ciclo sem fim.
Nos testes, os pesquisadores usaram um dispositivo Pixel 10 com Android 17 e o patch de segurança de 5 de agosto. O ciclo de travamentos começou cerca de um segundo após a instalação do aplicativo e se repetiu 110 vezes no modo de inicialização normal e 72 vezes no modo de segurança.
A Bitdefender alerta que o ciclo também impede os usuários de acessar o modo de segurança, que normalmente permitiria diagnosticar o problema e recuperar o dispositivo.
Há duas formas de interromper os travamentos: restaurar o aparelho às configurações de fábrica, o que apaga todos os dados armazenados localmente, ou excluir o arquivo malformado usando o ADB.
No entanto, o ADB só pode ser usado se a opção de depuração já estiver ativada no dispositivo. Além disso, para excluir o arquivo por esse método, é preciso agir antes que o sistema trave.
A Bitdefender comunicou o problema ao Google em 20 de agosto, mas recebeu a resposta: “Não será corrigido (não reproduzível)”. O Google também classificou o caso como fora do escopo.
Os pesquisadores enviaram uma versão mais detalhada do relato em 25 de agosto, por acreditarem que o Google havia classificado incorretamente a comunicação inicial. A empresa manteve o caso fora do escopo de uma atualização de segurança, embora tenha reservado o problema para análise em uma atualização futura.
O BleepingComputer informou que consultou o Google sobre o andamento da correção do GhostMap, mas ainda aguardava uma resposta.
Segundo a Bitdefender, a única oportunidade de bloquear o ataque é durante a instalação. Ferramentas de segurança de terceiros podem ajudar a detectar uma possível ameaça e exibir um alerta, mas não têm permissão para impedir a instalação.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...