A multinacional japonesa Trend Micro, especializada em segurança digital, realizou uma análise do popular app ShareIt e trouxe notícias nada agradáveis. O famoso aplicativo gratuito de compartilhamento de arquivos entre dispositivos foi considerado um pesadelo de segurança, que permite inclusive roubo de dados pessoais do usuário.

A ferramenta é distribuída pela Smart Media4U Technology e possui 1,8 bilhões de usuários hoje, em todo o planeta. O ShareIt também foi sucesso de downloads para Android e iOS não faz muito tempo, em 2019. Neste ano, ele foi um dos seis aplicativos mais baixados no mundo por aqueles que buscavam uma ferramenta para transferência de vídeos, músicas, imagens e demais arquivos entre dispositivos.

A Lenovo, durante muito tempo, forneceu seus dispositivos com o ShareIt já instalado de fábrica. Porém, ela deixou oficialmente de dar suporte de correção de bugs, correções de segurança ou atualizações adicionais para o app há dois anos.

Vulnerabilidades do ShareIt

Entre as vulnerabilidades de segurança encontradas no ShareIt e publicadas no relatório da Trend Micro, está o vazamento de dados confidenciais do usuário. Além disso, há entre as permissões do ShareIt execução de funções arbitrárias por meio de um código ou aplicativo malicioso.

Outro problema grave encontrado é a execução remota de códigos (RCE), que se trata de uma vulnerabilidade que explora uma fragilidade server-side. Em outras palavras, um código enviado por terceiros poderá ser executado do lado do servidor.

Execuções arbitrárias de códigos e roubo de dados

Um dos testes de confirmação de vulnerabilidade realizados pela Trend Micro foi o envio de um código pela equipe que acabou sendo executado por meio de outro aplicativo em um mesmo dispositivo. A execução mostra atividades arbitrárias, incluindo atividades de aplicativos internos (não públicos) e externos do ShareIt.

Qualquer entidade de terceiros também consegue obter acesso temporário de leitura ou gravação de dados pessoais em uma ampla área de armazenamento interno de um aparelho que possui o app instalado. O que causa esse problema de segurança no ShareIt é a desativação de um atributo específico, que é exportado nas linhas de código, e um caminho de direcionamento configurado pelo programador, levando para uma pasta raiz de arquivos. Essa falha pode facilmente ser interpretada como uma permissão acidental para roubo de dados.

Substituição de arquivos para instalação de apps maliciosos

Os testes da Trend Micro também comprovaram ser possível realizar a substituição de arquivos existentes no aplicativo ShareIt através de um código de leitura de cookies do WebView. Ao gerar arquivos do tipo .vdex e .odex quando iniciado pela primeira vez, o ShareIt carrega esses arquivos diretamente na sua execução seguinte. Um invasor pode criar arquivos falsos com essas extensões e substituir os criados pelo app, que serão executados de forma arbitrária em seguida.

A Trend Micro também notou que o ShareIt configurou links robustos usando URL, seja HTTP, HTTPS ou host (local), que levam a recursos-chave no app. Eles contêm funções que podem baixar e instalar qualquer arquivo apk (pacote de aplicativos Android).

A falha de segurança do ShareIt acontece neste caso quando a ferramenta fornece um recurso que permite a instalação de um arquivo com extensão .sapk. Dessa forma, um invasor configura uma RCE para instalar um app malicioso quando o usuário clicar em uma URL.

ShareIt foi avisado do problema há três meses

Os problemas são diversos e acendem um sinal gritante de alerta para os usuários que possuem o app em seus aparelhos. A publicação do relatório pela Trend Micro ocorre três meses depois que a empresa de segurança digital informou a situação para o fornecedor do ShareIt, que não respondeu, e também relatou o caso para o Google.

A Trend Micro deu sugestões para segurança digital com relação aos aplicativos que as pessoas possuem em seus aparelhos. Além de atualização constante para correção de irregularidades dos sistemas operacionais e dos próprios apps, é necessário que os usuários permaneçam sempre atualizados, acompanhando análises e artigos que são publicados sobre as ferramentas que baixam em seus dispositivos. O Olhar Digital também publicou uma matéria apresentando 5 alternativas ao ShareIt.

Via Ars Technica e Olhar Digital

Imagem: metamorworks / iStock