Các nhà sản xuất thiết bị gốc (OEM) như HTC, Samsung, Sony hay LG đã thực hiện các tùy chỉnh trên Android và không lường trước được hậu quả. Trong hội thảo an ninh Layer One 2016, các chuyên gia bảo mật đến từ Check Point đã phát hiện 2 lỗ hổng trên smartphone của LG, cho phép hacker kiểm soát thiết bị, đánh cắp/xóa dữ liệu và nguy hiểm hơn là biến chiếc điện thoại đắt tiền thành cục gạch.

Lỗ hổng CVE-2016-3117: Chiếm quyền kiểm soát smartphone, biến thiết bị thành cục gạch (brick)

Lỗ hổng đầu tiên tồn tại trong dịch vụ LGATCMDService của smartphone LG, cho phép hacker có thể tấn công leo thang đặc q uyền thiết bị của người dùng. Cụ thể, một ứng dụng độc hại có thể vượt qua quyền truy cập ứng dụng, giành được quyền kiểm soát “ATD User Permissions” – một chế độ người dùng có đặc quyền cao.

Sau đó, hacker có thể dễ dàng vô hiệu hóa kết nối USB, khởi động lại smartphone, thay đổi IMEI, địa chỉ MAC, xóa sạch bộ nhớ của điện thoại và thậm chí là biến điện thoại của bạn thành cục gạch (brick)

Các chuyên gia bảo mật cũng cảnh báo rằng lỗ hổng trên smartphone của LG sẽ là miếng mồi béo bở cho ransomware - mã độc tống tiền đang trở lại vô cùng mạnh mẽ. Cụ thể ransomware sẽ ngăn người dùng truy cập thiết bị, vô hiệu hóa kết nối Internet, USB, mã hóa dữ liệu và buộc người dùng phải trả tiền chuộc để đổi lấy "sự bình yên".

CVE-2016-2035: Lỗ hổng SQL injection

Lỗ hổng bảo mật thứ hai được phát hiện trong giao thức WAP Push dùng để gửi link URL thông qua giao thức tin nhắn SMS.

Thông qua lỗ hổng SQL injection, hacker có thể kiểm soát đường link gửi đến thiết bị người dùng, sau đó chúng sẽ thay thế nó bằng những URL fake dẫn đến các ứng dụng độc hại, website lừa đảo để đánh cắp thông tin đăng nhập.

Theo thống kê của comScore, hai lỗ hổng này có thể ảnh hưởng tới 20% smartphone của LG tại thị trường Mỹ - con số không hề nhỏ. Cùng với sự cố "đột tử" trên G4 và mới đây là "siêu phẩm" G5, có lẽ nhà sản xuất Hàn Quốc sẽ còn rất nhiều điều phải làm.