GhostMap: o aplicație fără nicio permisiune poate bloca telefonul Android în reporniri fără sfârșit, iar Google nu o repară printr-o actualizare de securitate. Ce a descoperit Bitdefender și cum te protejezi

Cercetătorii Bitdefender au găsit în Android o problemă prin care o aplicație special construită poate bloca telefonul în reporniri fără sfârșit. Aplicația nu cere nicio permisiune, nu conține cod care să ruleze și nici nu trebuie deschisă: e suficient să fie instalată. Telefonul se blochează la circa o secundă după instalare și nu mai pornește normal, nici în modul sigur (Safe Mode). Bitdefender a numit problema GhostMap și a publicat detaliile pe 5 noiembrie.

Problema nu are încă o reparație. Google a primit raportul în august, dar a considerat că nu ține de o actualizare de securitate și a trimis-o echipei care decide funcțiile versiunilor viitoare de Android. Vestea bună: Bitdefender spune că nu a văzut atacul folosit în realitate.

Ce face și ce nu face GhostMap

• Blochează telefonul. Sistemul repornește în buclă: în testele Bitdefender, de 110 ori în modul normal și de 72 de ori în modul sigur. Aceeași tehnică poate face o aplicație aproape imposibil de dezinstalat: pictograma ei poate bloca ecranul principal, Setările și pagina cu informații despre aplicație.
• Nu fură date. GhostMap nu rulează cod străin, nu citește fișiere și nu obține permisiuni. E un atac de tip „blocare a serviciului”: telefonul devine inutilizabil, dar datele nu ajung la atacator.
• Afectează multe versiuni. Bitdefender a reprodus problema pe un Pixel 10 cu Android 17 și actualizarea de securitate din 5 august, dar și pe versiuni mai vechi, începând cu Android 10. Cercetătorii nu au testat telefoanele altor producători, cum ar fi Samsung sau Xiaomi.

Cum funcționează

Un fișier de instalare Android, cu extensia APK, e de fapt o arhivă ZIP. În interiorul sistemului, două biblioteci diferite citesc aceste arhive, iar fiecare înțelege altfel un anumit câmp: cel care spune cum e comprimat un fișier din arhivă. Una verifică dacă dimensiunea declarată a fișierului e corectă, dar doar în anumite cazuri. Cealaltă nu verifică deloc și încearcă să citească fișierul la dimensiunea declarată, chiar dacă ea depășește sfârșitul real al arhivei.

Atacatorul pune în aplicație o valoare pe care niciuna dintre cele două biblioteci nu o tratează corect. După instalare, un serviciu esențial al sistemului citește resursele aplicației, ajunge dincolo de sfârșitul fișierului și se oprește brusc. Sistemul repornește, citește din nou aplicația și se blochează din nou.

Nu e prima problemă de acest fel. Diferențele dintre felul în care Android citește arhivele au mai produs vulnerabilități cunoscute, ca Master Key în 2013, Janus în 2017 și BadPack în 2024.

Cum a fost descoperită

Pe 12 august, o aplicație colectată de Bitdefender de pe internet a blocat în timpul instalării emulatoarele de analiză ale companiei. Era un troian bancar, adică un program care fură datele de acces la conturile bancare, împachetat cu un instrument care îi modificase structura arhivei. Cercetătorii spun că autorul nu pare să fi știut că aplicația lui bloca sistemul. Pornind de aici, Bitdefender a construit singură o demonstrație cu blocarea permanentă.

Bitdefender contestă evaluarea Google. Compania amintește că o problemă din 2016 care forța și ea reporniri continue a fost reparată de Google, iar după regulile actuale ale Google o astfel de problemă ar fi considerată de gravitate mare.

Cum te protejezi

Pentru că atacul are loc chiar în momentul instalării, aproape totul ține de ce instalezi:

1. Instalează aplicații doar din Google Play sau din magazinul producătorului. Evită fișierele APK primite pe WhatsApp, Telegram, prin SMS sau descărcate de pe site-uri necunoscute, mai ales dacă îți promit versiuni „premium” gratuite, jocuri sau aplicații de curierat și de bancă.
2. Nu acorda permisiunea de a instala aplicații din surse necunoscute. Dacă ai dat-o cândva unui browser sau unei aplicații de mesagerie, retrage-o din Setări, la secțiunea pentru aplicații cu acces special.
3. Folosește o aplicație de securitate care analizează fișierele înainte de instalare. Bitdefender Mobile Security detectează aplicațiile GhostMap, descărcate sau deja instalate, sub numele Android.Riskware.Ghostmap.rA, iar compania spune că și alte produse de securitate pot oferi o protecție asemănătoare. Atenție: pe Android, o aplicație de securitate nu poate bloca singură o instalare. Te avertizează, iar decizia e a ta.
4. Fă backup regulat. Dacă telefonul ajunge totuși în bucla de reporniri, varianta principală de reparare e resetarea la setările din fabrică, care șterge tot ce e salvat doar pe telefon. Pozele și contactele sincronizate în cloud scapă. Vezi ghidul nostru despre backup.

Dacă telefonul e deja blocat în reporniri

• Repornirea nu ajută, nici pornirea în modul sigur. Bucla continuă.
• Resetarea la setările din fabrică, din meniul de recuperare al telefonului, oprește bucla, dar șterge datele locale.
• Ștergerea fișierului prin ADB, instrumentul pentru dezvoltatori care controlează telefonul de pe calculator, merge doar dacă modul pentru dezvoltatori și depanarea USB erau deja activate. Și atunci, comenzile trebuie date între două blocări și funcționează doar până la prima repornire completă. Activarea preventivă a depanării USB nu e o idee bună pentru majoritatea utilizatorilor, pentru că lasă telefonul mai expus dacă îl pierzi.

De ce contează

Bitdefender, companie fondată în România, descrie și cum ar putea fi folosită problema: un atacator ar putea scoate din uz telefoane și cere bani pentru „deblocare”, ar putea bloca programele antivirus care analizează aplicația sau ar putea strecura fișierul printr-o actualizare a unei aplicații deja instalate. Niciunul dintre aceste scenarii nu a fost observat încă în realitate. Săptămâna aceasta e a doua oară când scriem despre o problemă care blochează telefoanele Android în reporniri. Cealaltă, „SMS-ul morții”, vine printr-un mesaj, nu printr-o aplicație, și are deja reparație la unii producători. Pentru GhostMap, până când Google schimbă felul în care Android citește aplicațiile, singura apărare e să fii atent la ce instalezi.

Surse: Bitdefender Labs (5 noiembrie: descrierea problemei, cele două biblioteci, versiunile afectate, telefonul testat, descoperirea din 12 august, rapoartele din 20 și 25 august, răspunsul Google, problema din 2016, scenariile posibile, recuperarea prin resetare și ADB, numele de detecție) și BleepingComputer (5 noiembrie: blocarea la o secundă după instalare, numărul de reporniri în modul normal și în modul sigur, limitele aplicațiilor de securitate).