Agora, o Mobile App Reputation Service, um dos recursos do aplicativo, é capaz de detectar apps que possam tirar proveito da brecha como Android_ExploitSign.HRX. Na prática, porém, a empresa afirma que ainda não foi possível encontrar nenhum programa malicioso com essa característica.
A vulnerabilidade ficou conhecida como “chave mestra” e reside na assinatura digital dos aplicativos. Um aplicativo só poderia ser atualizado se a nova versão tiver uma assinatura correspondente do mesmo desenvolvedor. No entanto, os pesquisadores descobriram que há uma forma de “burlar” esse mecanismo, fazendo com que um app já instalado receba uma nova versão sem a assinatura do desenvolvedor original. Assim, pelo menos na teoria, qualquer aplicativo pode ser substituído por uma versão danosa.
O Google modificou sua loja para que os aplicativos que tentam explorar este problema sejam bloqueados. Assim, o perigo fica em lojas de terceiros ou em arquivos APK. A empresa também lançou uma correção para a vulnerabilidade e distribuiu entre os fabricantes, que devem liberá-la aos usuários finais.
Comentários