La compañía de seguridad Bluebox ha alertado de una nueva vulnerabilidad de los sistemas Android que permite convertir aplicaciones legítimas en troyanos, pasando totalmente desapercibido por la tienda de aplicaciones, el teléfono o el usuario. Esta vulnerabilidad afecta a cualquier dispositivo Android lanzado al mercado en los últimos cuatro años. En función del tipo de aplicación, un hacker puede desde robar datos hasta crear una red de 'bots' móviles.
Según asegura Bluebox Security en su último informe, el riesgo para los usuarios y las empresas es grande, y se agrava si se tienen en cuenta las aplicaciones desarrolladas por los fabricantes de dispositivos como HTC, Samsung, Motorola o LG, o de terceros que trabajan en cooperación con el fabricante del dispositivo, ya que se otorgan privilegios elevados especiales dentro de Android, específicamente el acceso UID de sistema. Todas las aplicaciones Android contienen firmas criptográficas, que utiliza Android para determinar si la aplicación es legítima y verificar que la aplicación no ha sido alterada o modificada. Esta vulnerabilidad hace que sea posible cambiar el código de una aplicación sin afectar a la firma criptográfica de la aplicación, lo que permite a un autor malicioso engañe a Android creyendo que la aplicación no cambia. "Todo depende de la capacidad de los fabricantes de dispositivos para producir y lanzar actualizaciones de 'firmware' para los dispositivos móviles y que los usuarios las instalen. La disponibilidad de estas actualizaciones varían ampliamente dependiendo del fabricante y el modelo de que se trate", afirma la compañía de seguridad.