I ricercatori di sicurezza di CheckMarx hanno scoperto una vulnerabilità degli smartphone Android che consentirebbe a un aggressore di prenderne il controllo e scattare foto e video di nascosto, anche quando il telefono è bloccato e lo schermo è disattivato.

Sembra l'incubo peggiore di ogni utente Android, ma niente panico. La falla, denominata CVE-2019-2234, è stata risolta distribuendo a luglio scorso un aggiornamento delle app usate per gestire la fotocamera.

I ricercatori hanno dimostrato in un video la sfruttabilità della falla: era sufficiente creare un'app che aggirava i permessi che normalmente le app devono chiedere se vogliono scattare foto e si limitava a chiedere il permesso di accedere alla memoria, cosa che fanno tantissime app e non è considerata particolarmente pericolosa.

Grazie a questo espediente, l'app ostile riusciva non solo a riprendere foto e video, ma poteva anche accedere alle foto e ai video già presenti sullo smartphone e inviarli all'aggressore.

Visto che foto e video contengono quasi sempre le coordinate GPS, oltre alle immagini potenzialmente imbarazzanti o confidenziali era possibile ottenere una cronologia degli spostamenti della vittima.

Morale della storia: installate prontamente gli aggiornamenti delle app e non installate app di provenienza sospetta.

Fonti aggiuntive: Hot For Security, Ars Technica, Gizmodo.