Obtención de información sensible en Android mediante aplicaciones sin permisos

Normalmente ya hemos visto muchas aplicaciones de Android que hacen mal uso de los permisos pero, ¿a qué datos puede acceder una aplicación cuando no tiene ningún permiso?

Esa es la pregunta que se hizo Paul Brodeur del grupo Leviathan, que ha creado la aplicación "No Permissions" para ver qué información se puede extraer de un dispositivo Android mediante una aplicación que se instala sin ningún permiso.

Ciertamente, los resultados son preocupantes:

- es posible acceder en modo lectura a los ficheros no ocultos de la tarjeta SD (directorio /sdcard), por ejemplo fotos, copias de seguridad o ficheros de configuración externos de otras aplicaciones.

- se puede obtener un listado de aplicaciones instaladas leyendo /data/system/packages.list y escanear los directorios de cada aplicación para leer los ficheros de aquellas aplicaciones que no tengan los permisos configurados correctamente.

- es posible obtener información de identificación del propio dispositivo, como el ID de la red GSM y de la SIM. La aplicación también es capaz de leer /proc/version e identificar la versión del kernel y de la ROM.

Además y para más inri, aún podemos enviar la información recolectada. Y ¿cómo es posible si no tenemos el permiso INTERNET? Pues, aunque la mayoría del acceso a red está restringido, todavía tenemos la opción de llamar a URI ACTION_VIEW, abrir un navegador y enviar los datos mediante una petición GET.

Si no te lo crees, el desarrollador pone a nuestra disposición el código fuente y el apk de la aplicación, que ha sido probada en Android 4.0.3 Ice Cream Sandwich y Android 2.3.5 Gingerbread:

Código fuente: NoPermissions.zip
Fichero APK: NoPermissions.apk
Web Leviathan: http://leviathansecurity.com/blog/archives/17-Zero-Permission-Android-Applications.html