Una aplicación maliciosa puede obligar a un dispositivo Android a entrar en un bucle de reinicios persistente con solo instalarse, sin pedir permisos ni necesidad de abrirla, según descubrieron investigadores de Bitdefender, como informó BleepingComputer el 5 de noviembre. Para recuperarse del fallo, denominado GhostMap, puede ser necesario restablecer de fábrica el dispositivo, lo que borra los datos almacenados localmente, salvo que el acceso de depuración ya estuviera activado.
Bitdefender demostró el problema en un Pixel 10 con Android 17 y el parche de seguridad del 5 de agosto. Su aplicación de demostración no contenía código ejecutable y no necesitaba ninguna interacción del usuario tras la instalación. Los investigadores descubrieron el fallo al analizar un troyano bancario para Android que hacía fallar repetidamente sus emuladores al leer un recurso de la aplicación.
Bitdefender afirma que informó de GhostMap a Google en agosto, pero Google clasificó el problema como no reproducible y no publicó ningún parche. La explotación descrita en el informe es una demostración de Bitdefender, y no una campaña de ataque documentada.
Cómo la instalación desencadena los fallos
GhostMap se debe a que dos bibliotecas de Android interpretan de forma distinta los métodos de compresión ZIP. Un APK (paquete de aplicación de Android) malformado puede aprovechar esa discrepancia para eludir las comprobaciones de tamaño, lo que hace que Android asigne en memoria un archivo más allá de su contenido real.
Cuando un proceso lee la región no válida, recibe una señal SIGBUS, que detiene un proceso que intenta acceder a una memoria no válida. Según los investigadores, cualquier proceso que acceda al archivo afectado puede fallar.
Para su demostración, Bitdefender incluyó un recurso que el servicio principal de Android system_server lee automáticamente después de la instalación. Al leerlo, el servicio falla. Cuando se reinicia, vuelve a leer el mismo recurso y vuelve a fallar, lo que genera el bucle persistente.
En el Pixel de prueba, los fallos comenzaron aproximadamente un segundo después de la instalación. Los investigadores registraron 110 repeticiones en el modo de arranque normal y 72 en modo seguro. Bitdefender advierte de que el bucle también impide que los usuarios accedan al modo seguro, normalmente una vía para la resolución de problemas y la recuperación.
Respuesta de Google y opciones de recuperación
Bitdefender notificó el problema a Google por primera vez el 20 de agosto y recibió una respuesta «Won't Fix (Not Reproducible)», que lo consideraba fuera del alcance. Convencidos de que Google había clasificado mal el informe, los investigadores enviaron una versión ampliada el 25 de agosto.
Según Bitdefender, Google seguía considerando que el problema quedaba fuera del alcance de una actualización de seguridad, aunque lo reservó para su evaluación en una futura actualización. BleepingComputer había preguntado a Google por el estado de la corrección y seguía esperando respuesta cuando se publicó su artículo.
Bitdefender sostiene que la oportunidad de detener el ataque está durante la instalación. Las herramientas de seguridad de terceros pueden detectar la amenaza y mostrar una advertencia, pero no tienen permiso para bloquear la instalación.
Para los usuarios cuyos dispositivos ya están atrapados en el bucle, las opciones de recuperación indicadas son un restablecimiento de fábrica o eliminar el archivo malformado mediante Android Debug Bridge (ADB), una herramienta de depuración. La recuperación con ADB requiere que la depuración se haya activado previamente, y los scripts de eliminación deben ejecutarse antes de que el sistema vuelva a fallar. El restablecimiento de fábrica borra todos los datos almacenados localmente.
