«Un bug estremamente serio»: così ha definito il primo dei due bug scovati in Android la scorsa settimana Mark Brand, ricercatore del team Project Zero di Google.

Brand afferma che l'exploit in grado di sfruttare questa falla è stato sviluppato «per ragioni di studio» e che la sua pericolosità deriva dal fatto che può essere sfruttato in molti modi diversi.

Il ricercatore sostiene però che il codice reso pubblico per dimostrare l'exploit non è pericoloso in sé, ma deve essere modificato in maniera sostanziale per poterlo diventare.

Il secondo bug non è da meno del primo: per molti versi è simile all'exploit noto come Stagefright, in quanto permette di prendere il controllo di uno smartphone Android inviandogli un'immagine Jpeg alterata.

La falla permette infatti di nascondere del codice all'interno dei dati Exif dell'immagine e di eseguirli nel momento in cui l'utente la visualizza.

Entrambe le vulnerabilità sono dovute a problemi di Android che Google ha corretto con l'ultimo aggiornamento di sicurezza, e che si spera i vari produttori di smartphone distribuiscano al più presto.

I primi a ricevere gli aggiornamenti sono, come al solito, i Nexus di Google. Il problema è che le falle sono presenti anche nelle versioni più vecchie di Android (precedenti ad Android 6 Marshmallow), che non riceveranno mai le patch necessarie.

A complicare la vita degli utenti di Android c'è poi la scoperta che nel Google Play ci sono alcune app che contengono dei malware. Queste app sono state già scaricate ben 2,5 milioni di volte e secondo Check Point, che le ha individuate, ospitano i malware CallJam e DressCode.

Il primo è progettato per dirottare i browser degli smartphone verso siti che propongono pubblicità da cui il creatore del malware ricava introiti ma anche, se all'app è stato concesso il permesso, per effettuare chiamate verso numeri a pagamento.

Il secondo si comporta come il primo tranne che per le telefonate a pagamento ma in compenso si occupa di infettare la rete locale.

Google ha già provveduto a rimuovere le app infette, ma moltissimi utenti potrebbero aver contratto il malware senza saperlo.