Falha grave no Android pode inutilizar celulares ao receber ‘SMS da Morte’

Uma nova e crítica vulnerabilidade de segurança descoberta no ecossistema Android acendeu o alerta em especialistas de cibersegurança global. Batizada informalmente de “SMS da Morte”, a falha atinge aparelhos equipados com o Android 12 ou versões superiores e permite que invasores desestabilizem ou inutilizem por completo o smartphone da vítima através do simples envio de mensagens maliciosas em segundo plano, sem exigir qualquer tipo de clique ou interação do usuário.

A descoberta foi documentada pelo pesquisador de segurança Mark Blaszczyk, demonstrando que o problema está enraizado na camada interna de processamento do framework de telefonia nativo do sistema operacional móvel da Google.

Como funciona o ataque sem clique (zero-click)

Diferente de esquemas convencionais de engenharia social ou phishing — nos quais o usuário precisa clicar em links duvidosos ou autorizar permissões de instalação de arquivos APK —, a nova vulnerabilidade atua de forma totalmente silenciosa e passiva:

• Os invasores disparam uma mensagem especial formatada sob o protocolo WAP Push SMS.
• Em vez de exibir o texto na caixa de entrada do aplicativo de mensagens, o subsistema de telefonia do Android intercepta o pacote para pré-processamento interno imediato em segundo plano.
• A estrutura corrompida do código dispara uma falha em cascata de estouro de memória ou exceção não tratada na pilha de execução de chamadas celulares.

Os sintomas práticos se manifestam de imediato: ligações telefônicas em andamento são encerradas abruptamente e o dispositivo perde momentaneamente a conexão com as torres da operadora celular. Quando o número alvo é bombardeado por múltiplas mensagens com esse padrão em sequência, o sistema de telefonia entra em pane contínua, podendo travar completamente o smartphone e torná-lo inoperante, demandando procedimentos de recuperação avançados.

Dispositivos afetados e liberação do pacote de correção

Testes laboratoriais comprovaram a vulnerabilidade em aparelhos das linhas Google Pixel e Samsung Galaxy, mas a fragilidade estrutural abrange, teoricamente, qualquer modelo fabricado por diferentes marcas que execute o núcleo do Android 12 em diante.

Após as notificações dos pesquisadores, os engenheiros do Android desenvolveram uma contramedida eficaz, implementada a partir do pacote de segurança de outubro. A atualização altera a lógica de recepção do sistema para identificar preventivamente cerca de 20 padrões maliciosos conhecidos, descartando e excluindo as mensagens nocivas no ato, antes que qualquer rotina de processamento seja iniciada.

No entanto, a proteção oficial foi distribuída pela Google prioritariamente para aparelhos atualizados para o Android 14 ou mais recente. Usuários que utilizam versões anteriores, como o Android 12 e 13, dependem da liberação de correções pontuais por parte das fabricantes de seus respectivos smartphones, devendo verificar frequentemente se há novas atualizações de segurança pendentes nas configurações do sistema.