OnePlus, el conocido fabricante chino de smartphones que se dedica a lanzar dispositivos tope gama a precios contenidos, se ha visto esta semana envuelto en un par de escándalos que podrían minar su reputación.

El asunto comenzó el 14 de noviembre, cuando un investigador en seguridad que publica en Twitter bajo el pseudónimo de Elliot Alderson descubrió una “puerta trasera preinstalada de forma accidental” en los smartphones OnePlus 3, OnePlus 3T y OnePlus 5, la cual permitía acceder como root mediante ADB sin que se necesitase desbloquear el cargador de arranque.

El origen de este problema está en una aplicación de depuración no eliminada llamada EngineerMode, desarrollada aparentemente por Qualcomm. Aunque el último caso conocido sea el de OnePlus, también se la ha visto instalada en dispositivos de otras marcas como HTC, Samsung, LG, Sony, Huawei y Motorola. Tras descubrir la puerta trasera que genera, Elliot Alderson decidió decompilar la aplicación y encontró en el código un método llamado escalateUP, que devuelve un valor booleano tras aceptar un booleano y una cadena de caracteres como parámetros y se encarga de activar las propiedades del sistema persist.sys.adbroot y oem.selinux.reload_policy tras comprobar una contraseña (que es la cadena de caracteres pasada por parámetro).

Para que el método devuelva un valor verdadero (true) hace falta pasar la contraseña correcta, por lo que había que averiguarla. Elliot Alderson se puso a buscarla y al parecer no era compleja, ya que era angela, una de las protagonistas de Mr. Robot. Conociendo la contraseña, ya no había barreras para impedir la utilización de la puerta trasera.

Ante el revuelo generado, OnePlus publicó una entrada en su blog anunciando que eliminará EngineerMode en la próxima actualización de OxygenOS, no sin defenderse antes diciendo que dicha puerta trasera no es fácilmente explotable, ya que requiere de acceso físico al dispositivo y la activación de la depuración mediante USB, característica que requiere del pin y la contraseña del dispositivo.

Sin embargo, EngineerMode no fue la única polémica en la que se ha visto envuelto OnePlus esta semana, ya que poco después Elliot Alderson descubrió que OnePlusLogKit, una aplicación a nivel del sistema capaz de grabar y recolectar datos desde muchos puntos, pudiéndose mencionar registros de Wi-Fi, Bluetooth y localizaciones del GPS; registros de la señal del módem, de los datos, la temperatura y los problemas de energía; listar los procesos en ejecución, los servicios en ejecución y el estado de batería; además de bases de datos sobre los ficheros multimedia, incluyendo los vídeos y las imágenes guardadas en el dispositivo.

Esos detalles se conocieron tras decompilarse OnePlusLogKit, que obviamente solo está presente en los dispositivos del fabricante chino. Por suerte, este componente está inhabilitado por defecto, por lo que un atacante tendría que tener acceso al dispositivo de la víctima para activarlo o bien utilizar alguna ingeniería social para engañarla y hacer que la active. Una vez hecho esto, toda aplicación instalada en el dispositivo puede recolectar información registrada sin pedir permiso al usuario legítimo.

Aunque OnePlusLogKit fue diseñada con el propósito de que el fabricante y sus ingenieros registraran y diagnosticaran errores en el sistema, la cantidad de información que recolecta es tan alta que puede ser usada para propósitos maliciosos.

Fuentes: xda-developers y The Hacker News