Se informa que los teléfonos inteligentes Android que se ejecutan en un chip de procesador de señal digital (DSP) de Qualcomm específico tienen hasta 400 vulnerabilidades. La firma de investigación de seguridad Check Point en su investigación descubrió que estas vulnerabilidades permiten a los piratas informáticos acceder a información confidencial, hacer que el teléfono móvil no responda constantemente y permitir que el malware y otros códigos maliciosos oculten completamente sus actividades y se vuelvan inamovibles. Check Point dice que los chips Qualcomm DSP se encuentran en teléfonos de gama alta de Google, Samsung, LG, Xiaomi, OnePlus y más.
Check Point, en su Blog, señala que Qualcomm fue informado de estas vulnerabilidades anteriormente. La firma de investigación dice que el fabricante de chips los ha reconocido e incluso ha notificado a los proveedores de dispositivos relevantes sobre las vulnerabilidades. Asignó varias correcciones de CVE a los proveedores de dispositivos, incluidos CVE-2020-11201, CVE-2020-11202, CVE-2020-11206, CVE-2020-11207, CVE-2020-11208 y CVE-2020-11209. Check Point está bautizando a este grupo de vulnerabilidad como Achilles.
Yaniv Balmas, jefe de investigación cibernética en Check Point, comentó: «Aunque Qualcomm ha solucionado el problema, lamentablemente no es el final de la historia. Cientos de millones de teléfonos están expuestos a este riesgo de seguridad. Puede ser espiado . Puede perder todos sus datos «.
Un portavoz de Qualcomm dijo a la publicación: «Con respecto a la vulnerabilidad de Qualcomm Compute DSP revelada por Check Point, trabajamos diligentemente para validar el problema y poner las mitigaciones adecuadas a disposición de los OEM. No tenemos evidencia de que se esté explotando actualmente. Alentamos a los usuarios finales a actualizar sus dispositivos a medida que los parches estén disponibles y solo para instalar aplicaciones desde ubicaciones confiables como Google Play Store «.
Check Point no ha publicado detalles técnicos completos de estas vulnerabilidades de Achilles, ya que quiere que los proveedores de dispositivos móviles trabajen en posibles soluciones para mitigar los posibles riesgos que estas vulnerabilidades causan. Las 400 vulnerabilidades que se encuentran dentro del chip Qualcomm DSP pueden permitir a los atacantes convertir el teléfono en una herramienta de espionaje perfecta, sin que se requiera la interacción del usuario. Los piratas informáticos pueden obtener acceso a fotos, videos, grabación de llamadas, datos de micrófonos en tiempo real, datos de ubicación y GPS, y mucho más aprovechando estas vulnerabilidades.
Además, los atacantes también pueden hacer que el teléfono móvil no responda constantemente, lo que hace que toda la información almacenada en este teléfono no esté disponible permanentemente. Este ataque de denegación de servicio dirigido puede permitir que los piratas informáticos impidan que el usuario acceda a fotos, videos, detalles de contacto y más. Por último, estas vulnerabilidades permiten que el malware y otros códigos maliciosos oculten completamente sus actividades y se vuelvan inamovibles.
Check Point dice que los chips DSP son «caldo de cultivo» de vulnerabilidades, ya que se gestionan como «cajas negras» debido a la naturaleza compleja de estos chips y su arquitectura indefinida. Por esta razón, los proveedores de dispositivos móviles deben confiar en los fabricantes de chips para abordar el problema primero. Se informa que estas vulnerabilidades han afectado a varios teléfonos móviles. Si bien no se conoce el número exacto, los chips de Qualcomm están integrados en casi el 40 por ciento de los teléfonos móviles en el mercado, un análisis de estrategia de 2019 reporte afirmaciones, lo que deja millones de dispositivos potencialmente en riesgo de las vulnerabilidades de Achilles.
