Android può finire in un boot loop con un'app che non chiede permessi

La sicurezza degli smartphone Android torna al centro dell’attenzione per una vulnerabilità che potrebbe trasformare l’installazione di un’applicazione apparentemente innocua in un problema particolarmente grave.

La falla, identificata con il nome GhostMap, consente infatti a un’app malevola di compromettere il normale funzionamento del dispositivo, senza richiedere autorizzazioni particolari né ulteriori interazioni da parte dell’utente.

La scoperta è stata comunicata da Bitdefender, società specializzata in sicurezza informatica, durante un’indagine su un trojan bancario. Il caso evidenzia un aspetto importante della protezione mobile: anche componenti apparentemente secondari del sistema operativo possono diventare strumenti di attacco, soprattutto quando gestiscono file manipolati appositamente per sfruttarne comportamenti imprevisti.

Come funziona la vulnerabilità GhostMap

Secondo l’analisi pubblicata da Bitdefender, l’origine del problema risiede nell’interazione tra due librerie Android che interpretano in maniera differente i metodi di compressione degli archivi ZIP. Questa discrepanza permette di realizzare un pacchetto APK manipolato, capace di superare i controlli sulle dimensioni dei contenuti e di essere associato a una porzione di memoria non effettivamente allocata.

Quando un processo prova a leggere i dati interessati, si verifica un errore SIGBUS, ovvero un segnale generato quando un’applicazione accede a un’area di memoria non valida. Il processo coinvolto termina in modo anomalo, ma il problema non si esaurisce necessariamente con un singolo arresto.

Per dimostrare l’impatto concreto, i ricercatori hanno predisposto un’applicazione priva di codice eseguibile, che non richiede permessi e non deve nemmeno essere avviata manualmente. Il pacchetto contiene una risorsa che viene letta automaticamente da system_server, un servizio fondamentale per il funzionamento di Android.

La lettura innesca il malfunzionamento e provoca il riavvio del servizio. Durante la procedura, il sistema tenta nuovamente di accedere alla stessa risorsa, generando un’altra interruzione. Si crea così un ciclo di arresti che impedisce al dispositivo di completare regolarmente l’avvio. Nei test condotti su un Pixel 10 con Android 17 e aggiornamento di sicurezza del 5 agosto, la sequenza è iniziata circa un secondo dopo l’installazione. I ricercatori hanno registrato 110 arresti in modalità normale e 72 in modalità provvisoria.

Le conseguenze e la risposta di Google

L’aspetto più preoccupante riguarda l’impatto sull’utilizzabilità del telefono. Secondo Bitdefender, il ciclo di arresti può compromettere anche l’accesso alla modalità provvisoria, normalmente utilizzata per individuare problemi e intervenire sul dispositivo. Di conseguenza, l’utente potrebbe non riuscire a raggiungere gli strumenti necessari per una normale operazione di ripristino.

Tra le possibilità di recupero indicate dai ricercatori figurano il ripristino alle impostazioni di fabbrica, che comporta la cancellazione dei dati conservati localmente, e la rimozione del file alterato attraverso ADB. Quest’ultima strada presenta però limitazioni operative: il debug deve essere già attivo e gli script devono intervenire prima che il sistema subisca un nuovo arresto.

La gestione della segnalazione da parte di Google solleva inoltre interrogativi sulla valutazione delle vulnerabilità che coinvolgono componenti essenziali. Bitdefender aveva comunicato il problema il 20 agosto, ricevendo una classificazione che lo escludeva dagli interventi correttivi perché non riproducibile. Un rapporto ampliato, inviato il 25 agosto, non ha modificato immediatamente questa valutazione.

BleepingComputer ha chiesto chiarimenti al colosso di Mountain View, senza ricevere una risposta al momento della pubblicazione. Bitdefender sottolinea che la prevenzione deve concentrarsi soprattutto sulla fase di installazione: gli strumenti di sicurezza esterni possono individuare elementi sospetti e mostrare avvisi, ma non dispongono necessariamente dei privilegi per impedire l’installazione.