GhostMap in Android: boot loop con app senza permessi

La sicurezza degli smartphone Android torna al centro dell’attenzione a causa di una vulnerabilità, denominata GhostMap, che potrebbe trasformare l’installazione di un’applicazione apparentemente innocua in un problema particolarmente grave. La falla consente ad applicazioni malevole di compromettere il normale funzionamento del dispositivo senza richiedere autorizzazioni particolari né interazioni da parte dell’utente.

La scoperta è stata comunicata da Bitdefender, società specializzata in sicurezza informatica, durante un’indagine su un trojan bancario. Il caso evidenzia come anche componenti apparentemente secondari del sistema operativo possano diventare strumenti di attacco, soprattutto quando gestiscono file manipolati appositamente per sfruttarne comportamenti imprevisti.

Come funziona la vulnerabilità GhostMap

Secondo l’analisi pubblicata da Bitdefender, l’origine del problema risiede nell’interazione tra due librerie Android che interpretano in maniera differente i metodi di compressione degli archivi ZIP. Questa discrepanza permette di realizzare un pacchetto APK manipolato, capace di superare i controlli sulle dimensioni dei contenuti e di essere associato a una porzione di memoria non effettivamente allocata. Quando un processo prova a leggere i dati interessati, si verifica un errore SIGBUS, ovvero un segnale generato quando un’applicazione accede a un’area di memoria non valida.

Il processo coinvolto termina in modo anomalo, ma il problema non si esaurisce necessariamente con un singolo arresto. Per dimostrare l’impatto concreto della vulnerabilità, i ricercatori hanno predisposto un’applicazione priva di codice eseguibile, che non richiede permessi e non deve nemmeno essere avviata manualmente. Il pacchetto contiene una risorsa che viene letta automaticamente da system_server, un servizio fondamentale per il funzionamento di Android.

La lettura innesca il malfunzionamento e provoca il riavvio del servizio. Durante la procedura, il sistema tenta nuovamente di accedere alla stessa risorsa, generando un’altra interruzione. Si crea così un ciclo di arresti che impedisce al dispositivo di completare regolarmente l’avvio. Nei test condotti su un Pixel 10 con Android 17 e aggiornamento di sicurezza del 5 agosto, la sequenza è iniziata circa un secondo dopo l’installazione.

I ricercatori hanno registrato 110 arresti in modalità normale e 72 in modalità provvisoria. Questo dimostra come la vulnerabilità possa persistere anche in una configurazione di risoluzione dei problemi.

Conseguenze e risposta di Google

L’aspetto più preoccupante riguarda l’impatto sull’utilizzabilità del telefono. Secondo Bitdefender, il ciclo di arresti può compromettere anche l’accesso alla modalità provvisoria, normalmente utilizzata per individuare problemi e intervenire sul dispositivo. Di conseguenza, l’utente potrebbe non riuscire a raggiungere gli strumenti necessari per una normale operazione di ripristino.

Tra le possibilità di recupero indicate dai ricercatori figurano il ripristino alle impostazioni di fabbrica, che comporta la cancellazione dei dati conservati localmente, e la rimozione del file alterato attraverso ADB. Quest’ultima strada presenta però limitazioni operative: il debug deve essere già attivo e gli script devono intervenire prima che il sistema subisca un nuovo arresto.

Bitdefender aveva comunicato il problema a Google il 20 agosto, ricevendo una classificazione che lo escludeva dagli interventi correttivi perché non riproducibile. Un rapporto ampliato, inviato il 25 agosto, non ha modificato immediatamente questa valutazione. BleepingComputer ha chiesto chiarimenti al colosso di Mountain View, senza ricevere risposta al momento della pubblicazione.

Bitdefender sottolinea che la prevenzione deve concentrarsi soprattutto sulla fase di installazione: gli strumenti di sicurezza esterni possono individuare elementi sospetti e mostrare avvisi, ma non dispongono necessariamente dei privilegi per impedire l’installazione. La società raccomanda agli utenti di prestare particolare attenzione alle fonti da cui scaricano le applicazioni.

Fonte e approfondimento su GhostMap: articolo originale.

* Contenuto realizzato con l'ausilio di sistemi di intelligenza artificiale.