Una de las aplicaciones más populares de Google Play es ES File Explorer. Como su nombre indica, se trata de un explorador de archivos que permite mover fotos de la memoria interna a la SD, copiar, pegar o eliminarlos, etc. Sin embargo, su popularidad parece no ir a acompañada de seguridad, y es que Baptiste Robert, un investigador de seguridad informática francés, ha demostrado que la app permite a terceros acceder a los archivos de tu móvil si estáis conectados a la misma red WiFi.
De acuerdo a Robert, "cada vez que el usuario abre la app se inicia un servidor HTTP abierto localmente en el puerto 59777". A través de ese puerto, continúa el francés, un atacante puede enviar comandos JSON al destino que permiten, por ejemplo, listar todos los archivos, fotos, vídeos, audios, aplicaciones, información del dispositivo o lanzar o desinstalar una app.
Solo basta una línea de código
El investigador ha publicado un vídeo en YouTube en el que muestra el proceso en vivo. Básicamente, ha creado un script (disponible en GitHub) que, al ejecutarse, es capaz de descargar cualquier archivo del móvil de la víctima. Todo ello sin necesidad de dar ningún tipo de permiso. "Simplemente pulso en el icono, eso es todo", afirma Alderson en Twitter.
De acuerdo a Robert, las versiones afectadas son las 4.1.9.5.2 y superiores, es decir, las más recientes, puesto que son las que tienen el puerto abierto. La última versión disponible en Google Play, publicada el 14 de enero de este mismo año, es la 4.1.9.7.4.
Aunque podría parecer un fallo, Baptiste Robert opina que esta función ha sido "implementada por diseño". Pone el siguiente ejemplo, que traducimos al español: "Imagina este escenario: soy chino, tengo ES File Explorer instalado en mi teléfono y voy en el metro conectado a la red WiFi pública, por lo que las autoridades pueden usar esta "función" contra mí".
Worth to say, I'm convinced this "feature" has been implemented by design. Imagine a scenario: I'm Chinese, I have ES File Explorer installed on my phone. I'm on the subway and I used to connect to the public wifi. "The authorities" can use this "feature" against me. pic.twitter.com/XFXU3lkTBo
— Elliot Alderson (@fs0c131y) 16 de enero de 2019
En las respuestas al tweet original, Alderson comenta con algunos usuarios que no es posible ponerle solución más allá de usar los datos móviles al abrir la app o desinstalarla. Jane Manchun, otra ingeniera bastante conocida, ha aprovechado para recordar en los comentarios que Android tiene su propio gestor de archivos y que "debería ser suficiente para las tareas del día a día".
Desde EStrongs, la empresa desarrolladora de la aplicación, no han emitido ningún tipo de comunicado ni han mostrado actividad en sus redes sociales. ES File Explorer ha sido descargada más de 100 millones de veces en Google Play.
Ver 3 comentarios