OnePlus e la backdoor per ottenere i privilegi di root
EngineerMode, nei modelli 3,3T e 5, è un'applicazione che permette di ottenere i permessi di root sullo smartphone. Credits: digitaltrends.com
Trovata nei modelli 3, 3T e 5, EngineerMode è un’applicazione che permette di ottenere i permessi di root sullo smartphone. In altre parole, è una backdoor che consente di performare diverse azioni da amministratore.
Già al centro di polemiche per la raccolta di una grande quantità di dati utente, la OnePlus si trova ora a far fronte ad un nuovo problema e a nuove preoccupazioni.
Di che cosa si tratta
In fase di testing e debugging, gli sviluppatori utilizzano applicazioni per verificare la correttezza delle funzionalità implementate. Engineer Mode è una di queste, ed esegue dei test diagnostici accedendo al root.
Questo tipo di applicazione viene solitamente eliminata prima della messa in commercio, ma questa volta qualcosa è andato storto. L’ anonimo hacker che ha scoperto la sua presenza, ha spiegato in una serie di tweet il funzionamento dell’applicazione, ed è infine riuscito ad ottenere la password per sbloccare l’accesso ai privilegi di admin.
L’applicazione è una vera e propria backdoor, in quanto consente di accedere alle funzionalità del sistema nella sua totalità, bypassando i normali filtri di sicurezza presenti.
Per sfruttare l’applicazione, è sufficiente lanciare l’attività DiagEnabled con una specifica password, e ottenere i permessi di root. Per fare ciò, viene utilizzato un comando da lanciare tramite ADB.
L’hacker negli ultimi giorni è stato molto attivo, e ha anche pubblicato un video tutorial per effettuare il root del sistema. Rendendo noti nuovi dettagli man mano che li scopriva, ha attirato l’attenzione di tutti sulla questione, generando preoccupazione negli utenti.
Quali sono i rischi?
La notizia della backdoor negli smartphone OnePlus ha generato molte perplessità sulla sicurezza dei sistemi, e anche molta agitazione. A questo si aggiunge la promessa dell’hacker di pubblicare un’applicazione per automatizzare l’acquisizione dei privilegi di root.
Anche se per qualcuno ciò può sembrare una cosa buona, non lo è affatto. Sebbene per sfruttare la backdoor serva un accesso fisico al device, rimane il rischio che un malintenzionato riesca a sfruttare app di terze parti per sbloccare i privilegi di root, e utilizzare lo smartphone a suo pacimento.
Oltretutto, se utilizzata in concomitanza con altre vulnerabilità, l’applicazione può provocare seri problemi di sicurezza.
La risposta di OnePlus
L’azienda ha prontamente risposto alle numerose domande degli utenti. In un post sul forum ufficiale ha spiegato che non ci sarebbero rischi. Le app di terze parti non sono in grado, a detta loro, di ottenere i privilegi completi di root. A ciò, spiegano, si aggiunge il fatto che l’ADB root è utilizzabile solo se la modalità USB debugging è attiva (e, di default, non lo è).
Nonostante OnePlus non la veda come un problema serio, ha comunque deciso di eliminare l’applicazione nei prossimi aggiornamenti per rassicurare gli utenti.
Sebbene l’azienda appaia tranquilla sulla questione, le discussioni imperversano, e i tweet dell’hacker non si fermano. Per ora il consiglio è quello di disattivare il debug USB se non è strettamente necessario usarlo, e di evitare di scaricare app non ufficiali. Intanto, gli utenti rimangono in attesa dei prossimi update del firmware, che risolveranno il problema.