Epic Games decidió prescindir de Google Play al lanzar su juego en Android para ahorrarse la tasa de Google y esta decisión puso a quienes instalaron Fortnite en peligro de contagiarse de malware. No por mucho tiempo, al menos, pues el problema se solucionó en dos días.
Irónicamente, fue Google quien informó del error directamente a Epic Games. Se trataba de un exploit del recientemente anunciado Man-In-The-Disk, que venía como el anillo al dedo para el instalador de Fortnite. Aun usando el instalador original, una aplicación maliciosa podría dar el cambiazo e instalar malware en el dispositivo.
El siguiente vídeo es una demostración de cómo una aplicación maliciosa puede aprovechar esta vulnerabilidad para engañar al instalador de Fortnite e instalar una versión modificada con muchos más permisos y sin que el usuario se entere.
Todavía peor en un Samsung Galaxy
El ataque Man-in-The-Disk implica que una aplicación de apariencia inofensiva y con permiso para leer el almacenamiento externo (bastante común) puede monitorizar una carpeta donde se descarga una actualización y cambiarla por otra, pudiendo así saltarse el permiso para instalar aplicaciones, lo cual haría saltar las alarmas.
En este caso concreto, una aplicación maliciosa se quedaría pendiente de cuándo el instalador de Fortnite descarga el juego y lo cambiaría por su propia versión. Esto es malo de por sí en cualquier Android, pero es todavía peor en un teléfono Samsung pues con la API de Galaxy Apps la instalación es silenciosa: es decir, el usuario ni siquiera llega a ver el proceso.
Por suerte el asunto ya está solucionado, y en tiempo récord. Google detalló el error el pasado 15 de agosto y el día 17 de agosto Epic ya había publicado el parche para sus usuarios. Siguiendo la política de revelación de vulnerabilidades de Google, el informe se hizo finalmente público siete días después de que el parche estuviera disponible para todos.
Vía | XDA
En Xataka Android | Man-in-the-Disk: un nuevo tipo de ataque que se aprovecha de las tarjetas SD de nuestros Android
Ver 4 comentarios