In questo articolo Indice dei contenuti 2 sezioni
Un semplice messaggio di testo può interrompere una chiamata al 118 e trascinare lo smartphone in una spirale di riavvii senza fine. È questo l’effetto di SMS of Death, la vulnerabilità Android scoperta dal ricercatore di sicurezza Mark Blaszczyk. Il ricercatore ha dimostrato che un SMS costruito in un modo particolare può mettere fuori gioco il telefono senza che l’utente tocchi nulla e senza alcun avviso.
Il dettaglio più inquietante riguarda la natura invisibile dell’attacco. Il messaggio legato a SMS of Death non compare mai nella casella degli SMS, non genera notifiche e non mostra alcun mittente sospetto. Svanisce nel nulla, ma intanto il sistema operativo non riesce a elaborarlo correttamente e i danni cominciano.
Come funziona SMS of Death e quali telefoni sono a rischio
Il testo malevolo manda in crash la componente che gestisce le chiamate e chiude all’istante qualunque conversazione in corso, comprese quelle verso i servizi di emergenza. E non si ferma lì. Android continua a provare a leggere lo stesso messaggio e ogni tentativo provoca un nuovo blocco. Secondo Blaszczyk bastano una ventina di questi SMS per rendere il dispositivo praticamente inutilizzabile, intrappolato in un ciclo di riavvii continui.
Nemmeno il ripristino alle impostazioni di fabbrica offre garanzie contro questa vulnerabilità Android. Se l’operatore telefonico reinvia i messaggi incriminati dopo il reset, il problema si ripresenta tale e quale. L’unica via d’uscita tecnica consiste nel collegare lo smartphone a un computer e cancellare a mano i messaggi, un’operazione alla portata di pochissimi utenti.
Il ricercatore ha riprodotto l’attacco su Google Pixel e Samsung Galaxy. Il codice difettoso risale ad Android 12, perciò tutti i dispositivi aggiornati da quella versione in avanti potrebbero essere esposti, salvo che abbiano già ricevuto la correzione. I modelli più datati, ormai esclusi dagli aggiornamenti di sicurezza, restano invece vulnerabili in modo permanente.
La segnalazione respinta da Google e la patch già pronta
La vicenda ha anche un risvolto piuttosto imbarazzante per Google. Blaszczyk aveva segnalato la falla il 5 maggio, ma l’azienda ha respinto più volte la sua comunicazione sostenendo che non si trattasse di un problema di sicurezza. Frustrato da queste risposte, il ricercatore ha deciso di rendere pubblica la scoperta il 29 ottobre e l’ha accompagnata con una dimostrazione funzionante.
Il paradosso sta nel fatto che Google aveva già messo a punto una correzione il 15 giugno, mesi prima della divulgazione. Il fix cambia il comportamento del sistema, che invece di andare in crash elimina il messaggio problematico prima che possa provocare altri danni. La soluzione è stata distribuita già a luglio e la vulnerabilità risulta catalogata con una classificazione di gravità critica. Viene quindi spontaneo chiedersi perché Blaszczyk sia stato liquidato in quel modo.
La spiegazione più probabile, come accade spesso in situazioni simili, è un difetto di comunicazione interna tra i diversi team di Google, magari legato a una segnalazione duplicata. L’azienda però non ha ancora chiarito pubblicamente la discrepanza.
Stando alle informazioni disponibili, la patch è inclusa negli aggiornamenti di sicurezza di ottobre per Android 14, 15, 16 e 17. I tempi di distribuzione cambiano però da produttore a produttore, per cui la mossa più sensata è installare senza attendere l’ultimo aggiornamento disponibile per il proprio dispositivo.
Fonte: TecnoAndroid