Atacante puede bloquear la tarjeta SIM y resetear el equipo.
Foto: VIve La Tecnologia

Durante septiembre se reportó una grave vulnerabilidad en sistemas operativos Android que permite al atacante ejecutar remotamente un comando USSD. Esto para, entre otras cosas, bloquear la tarjeta SIM o reiniciar el equipo de la víctima a sus configuraciones de fábrica, eliminando en consecuencia de modo permanente toda la información del usuario contenida en el dispositivo.

Así lo informó el Laboratorio de ESET Latinoamérica. En este marco, la empresa ha lanzado una aplicación gratuita para que los usuarios eviten ser víctimas de este ataque.

Los códigos USSD son utilizados por las compañías telefónicas y las empresas que fabrican dispositivos móviles para realizar tareas de soporte técnico y asistencia a los usuarios.

Estos códigos comienzan con un asterisco y contienen una serie de dígitos representando los comandos o la información para luego finalizar con un numeral. Permiten realizar diversas acciones, como por ejemplo visualizar el número de IMEI (International Mobile Equipment Identity) del equipo con el código *#06#.

La vulnerabilidad, que fue presentada en la conferencia de seguridad Ekoparty realizada en Argentina entre el 19 y 21 de septiembre, permite que un atacante ejecute código malicioso en el dispositivo del usuario sin darle la oportunidad de cancelar o detener el ataque una vez que el mismo se inició.

Además, para ser afectado por esta vulnerabilidad los usuarios sólo tienen que acceder a un enlace malicioso, escanear un código QR o leer información través del protocolo NFC (Near Field Communication).

Prevención

El atacante puede vulnerar el teléfono inteligente de la víctima con sólo lograr que acceda a un sitio malicioso que explote este agujero de seguridad a través del envío de un código USSD específico.

De este modo, cualquier usuario de un equipo móvil con sistemas operativos Android puede verse expuesto a perder su información a través de la ejecución de una línea de comando.

Para ofrecer protección a los más de 400 millones de usuarios de Android alrededor del mundo, ESET ha puesto a disposición del público ESET USSD Control, una herramienta gratuita capaz de detectar y evitar la explotación de esta vulnerabilidad. Para descargar la aplicación y obtener más información puede visitar: http://blogs.eset-la.com/ laboratorio/2012/10/02/herramienta-eset-vulnerabilidad-ussd-android

"Es importante que los usuarios tomen medidas para prevenir este ataque, dado que la gran visibilidad que ha obtenido junto con el hecho de que el exploit para aprovechar la vulnerabilidad se encuentra público permiten pensar que su propagación podría extenderse en el tiempo", aseguró Raphael Labaca Castro, Coordinador de Awareness & Research de ESET Latinoamérica.

Otros peligros

En septiembre se detectó también una vulnerabilidad 0-day que afectó a Internet Explorer y permitía la ejecución de código remoto. El agujero de seguridad afectaba Internet Explorer 9 y versiones anteriores al visitar algunos sitios web con contenido malicioso. Se reportó además un troyano que se propagaba aprovechando dicha vulnerabilidad.

Ante la situación, Microsoft decidió adelantar la publicación de un parche para solucionar el inconveniente, por lo que se recomienda a todos los usuarios de ese navegador que utilicen la versión 9.0 y anteriores que actualicen sus equipos inmediatamente.