Una vulnerabilidad de Android que se cree fue explotada como Zero-Day por una aplicación china contra millones de dispositivos ha sido añadida al catálogo de vulnerabilidades explotadas conocidas mantenido por la Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA) de Estados Unidos. La inclusión se produjo tras confirmación por parte de Google sobre su uso.
Google suspende aplicación china tras descubrimiento de malware
El 21 de marzo, Google anunció la suspensión de la popular aplicación de compras china Pinduoduo en su tienda de aplicaciones después de que se detectara malware en versiones de la aplicación distribuidas a través de otros sitios web. La empresa china negó las acusaciones.
Investigadores chinos reportan comportamientos maliciosos
La decisión de Google surgió tras informes de investigadores chinos que señalaban comportamientos maliciosos vinculados a Pinduoduo, acusando a la empresa de agregar dispositivos de cientos de millones de usuarios en una red de bots.
Vulnerabilidades específicas y actividades maliciosas
Según los investigadores, las aplicaciones de Pinduoduo aprovechan vulnerabilidades específicas de Android y de los fabricantes de equipos originales. Recopilan datos de usuarios y aplicaciones, despliegan puertas traseras, instalan otras aplicaciones y eluden funciones de seguridad.
Confirmación de explotación por parte de Lookout
Aproximadamente una semana después del anuncio de Google sobre la eliminación de Pinduoduo, los investigadores de Lookout confirmaron que la aplicación parece intentar tomar el control de dispositivos, recopilar datos e instalar otro software, lo cual podría afectar a millones de dispositivos.
Explotación de CVE-2023-20963
Lookout descubrió que la aplicación explotó una vulnerabilidad de Android rastreada como CVE-2023-20963, cuya explotación comenzó antes del lanzamiento del parche por parte de Google en marzo.
Descripción de la vulnerabilidad
Google describe CVE-2023-20963 como un fallo de escalamiento de privilegios de alta gravedad que afecta al componente framework de Android. El gigante de Internet actualizó su boletín de seguridad en abril para informar a los usuarios sobre indicios de que la vulnerabilidad podría estar bajo explotación limitada y dirigida.
CISA incluye la vulnerabilidad en su catálogo
El jueves, CISA añadió la vulnerabilidad al catálogo de vulnerabilidades explotadas conocidas (KEV), que se conoce como una lista de «parches obligatorios». La agencia instruyó a las organizaciones gubernamentales para que lo parcheen en las próximas dos semanas.
Adición de otra vulnerabilidad al catálogo
Además de CVE-2023-20963, CISA incluyó una vulnerabilidad que afecta al software instalable de encuestas de Novi Survey. La empresa publicó un aviso sobre CVE-2023-29492, que permite a un atacante remoto ejecutar código arbitrario en el servidor.
Google propone mayor transparencia en gestión de vulnerabilidades
El jueves, Google pidió a los proveedores que sean más transparentes sobre la explotación de vulnerabilidades. El documento menciona la creación del Hacking Policy Council como primer paso para promover mejores prácticas de gestión y divulgación de vulnerabilidades.