Marcas de móviles que no aplican todos los parches de seguridad en Android

El ecosistema de dispositivos móviles basados en Android es tan variado que, al mismo tiempo, se convierte en su peor amenaza. Cada marca gestiona las actualizaciones a su manera y desde luego pocas siguen el calendario de parches de seguridad publicados por Google a rajatabla.

La mayoría de fabricantes de Android dejan actualizaciones fuera del paquete

¿Está tu Android actualizado? ¿Seguro?

Seguramente no lo sepas pero, continuamente, bastantes actualizaciones publicadas por Google para mejorar la seguridad en Android están quedando en el limbo de los parches sin que muchas marcas se planteen desplegarlos en nuestros terminales.

Según SR Labs (Security Research) este problema no es exclusivo de marcas chinas o marcas emergentes, sino que está afectando a jugadores principales de la industria del móvil, como Huawei, HTC o Motorola.

En muchos casos, los fabricantes despliegan actualizaciones incompletas que dejan los dispositivos abiertos a ciberataques.

Los teléfonos ahora cuentan con actualizaciones de seguridad mensuales. Instalarlos es un importante primer paso, pero sigue siendo insuficiente sino se incluyen todos los parches que han aparecido dichas actualizaciones. […] Nuestro estudio extensivo de móviles Android concluye que la mayoría de fabricantes “olvidan” regularmente incluir algunos parches, dejando los teléfonos parcialmente expuestos.

La mayoría de fabricantes de Android dejan actualizaciones fuera del paquete

Durante la conferencia de seguridad Hack in the Box los expertos de SRL presentaron sus conclusiones. Incluso si Google es capaz de instalar algunos parches en modo OTA (over the air) sin intervención del fabricante, en algunos casos en que los parches afectan a componentes al nivel más bajo (como firmware) necesitan la colaboración del fabricante para poder hacerlo.

En la siguiente tabla nos ofrecen el número de parches críticos y de importancia alta que han quedado fuera de implantación en plazo (columna “Missed patches”).

Marcas de móviles que no aplican todos los parches de seguridad en Android

Los expertos de SRL explican que la única forma de descubrir qué hay instalado en nuestro terminal Android es fijarse en los parches mensuales publicados por Google para comparar que los parches están al día.

Hay una buena noticia, después de todo, y es que en muchos casos la ausencia de parches a tiempo no permite vulnerar los móviles directamente, dado que existen otras barreras como el sandboxing o el ASLR, defensas que deberán ser superadas por al atacante antes de poder comprometer el dispositivo.

En resumen, la ausencia de parches no siempre dejará nuestro Android totalmente expuesto a los atacantes, pero desde luego les facilita un poco la tarea y pensamos que deberían tomarse las actualizaciones de seguridad un poco más en serio.

No olvides que conviene tener un antivirus o antimalware fiable también en sistemas operativos móviles como Android para garantizar el más elevado nivel de seguridad.

Autor: Alejandro Sánchez

Alejandro es técnico micro-informático, experto en seguridad de las TIC y apasionado de la tecnología. Colabora habitualmente en diferentes publicaciones de seguridad, software y análisis de hardware entusiasta.