La aplicación Airdroid es vulnerable a los ataques de 'hombre en el medio' [actualización: corregida y mejorada]

Actualización, 9 de diciembre: Betty Chen, CMO de AirDroid, contactó a Android Central con lo último en el trabajo del equipo para corregir la vulnerabilidad. Vea la respuesta a continuación:

Acabamos de completar el lanzamiento por etapas de AirDroid (Mobile 4.0.0.3; Mac / Win 3.3.5.3) en Google Play Store, ahora está disponible para todos los usuarios. En esta actualización, hemos mejorado nuestro mecanismo de cifrado según lo planeado y solucionado el problema relacionado con la reciente preocupación por la seguridad de AirDroid.

El problema se soluciona en la actualización.

Junto con otras mejoras de seguridad, hemos actualizado los canales de comunicación a https y mejorado el método de cifrado.

Debido a la naturaleza multiplataforma de AirDroid, nos llevó algún tiempo diseñar una solución personalizada y nivelar nuestra seguridad en todos los aspectos. Introdujimos el sistema de codificación de reestructuración en AirDroid4.0 y AirDroid 4.0.0.1 para asegurarnos de que la compatibilidad funcione bien en todas las plataformas a fines de noviembre. Después de una evaluación cuidadosa, comenzamos a implementar esta actualización parcialmente a principios de este mes entre los clientes para asegurarnos de que una comunicación fluida se realice correctamente. Ahora por fin podemos lanzar esta actualización por completo para solucionar el problema planteado y asegurarnos de que nuestros usuarios estén mejor protegidos.

La investigación realizada por la firma de seguridad Zimperium ha demostrado que la popular aplicación de administración remota AirDroid es vulnerable a los llamados ataques "man-n-the-middle", dejando los teléfonos de los usuarios abiertos al robo de datos o, en el peor, al compromiso del dispositivo a través de un secuestro actualizar archivo.

Según Zimperium, un atacante en la misma red que la víctima prevista podría interceptar los datos de autenticación y hacerse pasar por el usuario, permitiendo que se expongan datos personales, como SMS, llamadas, notificaciones o detalles de contacto.

Lo más grave es que el mecanismo por el cual se actualiza la aplicación también podría ser secuestrado de la misma manera, exponiendo a los usuarios de AirDroid a que todo su dispositivo se vea comprometido por un archivo APK malicioso. La firma de seguridad tiene una prueba de concepto completa en su sitio, junto con detalles de cómo reveló las vulnerabilidades al desarrollador Sand Studio, a partir de mayo de 2016.

Zimperium dice que los AirDroid 4.0.0 y 4.0.1 recientemente lanzados siguen siendo vulnerables a la misma vulnerabilidad. Nos comunicamos con Sand Studio para obtener comentarios, y actualizaremos esta publicación con cualquier respuesta. Mientras tanto, si eres un usuario de AirDroid consciente de la seguridad, es posible que desees pensar en desinstalar hasta que haya una solución disponible.

Puede descargar la última versión de AirDroid para su dispositivo Android aquí. La última versión de la aplicación de escritorio se puede descargar desde el sitio web de AirDroid. Si eres un usuario frecuente de AirDroid, definitivamente querrás descargar estas actualizaciones críticas lo antes posible.