OnePlus ha colado en sus propios teléfonos inteligentes un agujero de seguridad. Y lo ha hecho ofreciendo a sus usuarios, preinstalada, una aplicación creada por Qualcomm –el fabricante de chipsets- que permite obtener privilegios de administrador en los dispositivos afectados de forma sencilla, y sin necesidad siquiera de desbloquear el bootloader. Pero no es una aplicación maliciosa como tal, sino que sencillamente habilita una puerta trasera para la seguridad de los dispositivos del fabricante chino.
La aplicación en cuestión viene instalada de fábrica en todos los OnePlus que cuentan con OxygenOS. Es una aplicación desarrollada por Qualcomm, y perfectamente fiable, pero está diseñada para probar –de forma interna- el sistema. Se llama EngineerMode, y habilita en los teléfonos inteligentes de Qualcomm una puerta trasera que permite obtener privilegios de administrador con absoluta facilidad. Esto quiere decir, por ejemplo, que se puede conseguir rootear el dispositivo sin siquiera tener que pasar por el desbloqueo del bootloader. Y que a consecuencia, cualquier otra aplicación puede aprovecharla para usar tales privilegios sin que el usuario se entere de absolutamente nada.
EngineerMode: una app preinstalada en los móviles OnePlus que pone en riesgo a sus usuarios
La aplicación por sí sola no es maliciosa, pero sí la ‘puerta trasera’ que deja en los teléfonos inteligentes de OnePlus. La cuestión es que su desarrollo permite conseguir privilegios de administrador fácilmente, y la aplicación EngineerMode no cuenta con la suficiente seguridad para evitar su uso fraudulento. Pero es que OnePlus no tenía por qué haber ofrecido esta aplicación preinstalada en sus teléfonos inteligentes, sino que este tipo de apps deberían quedarse en el entorno y uso interno del fabricante de teléfonos inteligentes, así como el de los fabricantes de componentes.
Un reciente análisis sobre esta aplicación incluso ha permitido conocer la contraseña para el acceso con todos los privilegios. La marca de móviles ha sido alertada ya al respecto, y la respuesta que se espera por su parte es una actualización de firmware de la mano de OxygenOS que directamente elimine la aplicación de los dispositivos que la tienen preinstalada. Mientras tanto, también se pueden ajustar los permisos de aplicaciones para impedir que pueda modificar los ajustes del sistema. Esto lo deben hacer los usuarios de forma manual.
Fuente:https://www.adslzone.net/2017/11/14/oneplus-engineermode-app-peligrosa/
Entusiasta de la seguridad cibernética. Especialista en seguridad de la información, actualmente trabajando como especialista en infraestructura de riesgos e investigador.
Experiencia en procesos de riesgo y control, soporte de auditoría de seguridad, diseño y soporte de COB (continuidad del negocio), gestión de grupos de trabajo y estándares de seguridad de la información.
Envía tips de noticias a info@noticiasseguridad.com o www.instagram.com/iicsorg/.
También puedes encontrarnos en Telegram www.t.me/noticiasciberseguridad
