O Google corrigiu no mês passado um bug do Android que pode permitir que hackers espalhem malware para um telefone próximo por meio de um recurso pouco conhecido do sistema operacional Android chamado NFC beaming.
A transferência NFC funciona através de um serviço interno do sistema operacional Android conhecido como Android Beam . Este serviço permite que um dispositivo Android envie dados como imagens, arquivos, vídeos ou até aplicativos para outro dispositivo próximo usando ondas de rádio NFC (Near-Field Communication), como alternativa ao WiFi ou Bluetooth.
Normalmente, os aplicativos (arquivos APK) enviados via transferência NFC são armazenados no disco e uma notificação é exibida na tela. A notificação pergunta ao proprietário do dispositivo se ele deseja permitir que o serviço NFC instale um aplicativo de uma fonte desconhecida.
Mas, em janeiro deste ano, um pesquisador de segurança chamado Y. Shafranovich descobriu que os aplicativos enviados via NFC transmitidos no Android 8 (Oreo) ou em versões posteriores não mostrariam esse prompt. Em vez disso, a notificação permitiria ao usuário instalar o aplicativo com um toque, sem nenhum aviso de segurança.
Embora a falta de um prompt pareça sem importância, esse é um problema importante no modelo de segurança do Android. Os dispositivos Android não têm permissão para instalar aplicativos de “fontes desconhecidas” – pois qualquer coisa instalada fora da Play Store oficial é considerada não confiável e não verificada.
Se os usuários quiserem instalar um aplicativo de fora da Play Store, eles deverão visitar a seção “Instalar aplicativos de fontes desconhecidas” do sistema operacional Android e ativar o recurso.
Até o Android 8, essa opção “Instalar de fontes desconhecidas” era uma configuração em todo o sistema, a mesma para todos os aplicativos. Mas, começando com o Android 8, o Google redesenhou esse mecanismo em uma configuração baseada em aplicativo .
Nas versões modernas do Android, os usuários podem visitar a seção “Instalar aplicativos desconhecidos” nas configurações de segurança do Android e permitir que aplicativos específicos instalem outros aplicativos. Por exemplo, na imagem abaixo, os aplicativos Chrome e Dropbox para Android têm permissão para instalar aplicativos, semelhantes ao aplicativo Play Store, sem serem bloqueados.
O bug do CVE-2019-2114 residia no fato de o aplicativo Android Beam também estar na lista de permissões, recebendo o mesmo nível de confiança que o aplicativo oficial da Play Store.
O Google disse que isso não deveria acontecer, pois o serviço Android Beam nunca foi concebido como uma maneira de instalar aplicativos, mas apenas como uma maneira de transferir dados de um dispositivo para outro.
Os patches de outubro de 2019 para Android removeram o serviço Android Beam da lista de permissões de SOs de fontes confiáveis.
No entanto, muitos milhões de usuários permanecem em risco. Se os usuários tiverem o serviço NFC e o serviço Android Beam habilitados, um invasor próximo poderá plantar malware (aplicativos maliciosos) em seus telefones.
Como não há solicitação de instalação de uma fonte desconhecida, tocar na notificação inicia a instalação do aplicativo mal-intencionado. Há o risco de muitos usuários interpretarem mal a mensagem como proveniente da Play Store e instalar o aplicativo, pensando que é uma atualização.
COMO SE PROTEGER
Há boas e más notícias. A má notícia é que o recurso NFC é ativado por padrão na maioria dos dispositivos recém-vendidos. Muitos proprietários de smartphones Android podem nem estar cientes de que a NFC está ativada no momento.
A boa notícia é que as conexões NFC são iniciadas somente quando dois dispositivos são colocados próximos um do outro a uma distância de 4 cm (1,5 polegadas) ou menor. Isso significa que um invasor precisa aproximar seu telefone do telefone da vítima, algo que nem sempre é possível.
Para manter a segurança, qualquer usuário pode desativar o recurso NFC e o serviço Android Beam.
Se eles usarem seus telefones Android como cartões de acesso ou como soluções de pagamento sem contato, poderão deixar a NFC ativada, mas desativar o serviço Android Beam – veja a imagem abaixo. Isso bloqueia a transferência de arquivos NFC, mas ainda permite outras operações NFC.
Portanto, não há necessidade de entrar em pânico. Basta desativar o Android Beam e o NFC se você não precisar deles ou atualizar o telefone para receber as atualizações de segurança de outubro de 2019 e continuar usando o NFC e o Beam como de costume.
