GhostMap: falha no Android pode derrubar o celular antes mesmo de o app ser aberto

O GhostMap nasce de uma divergência entre duas bibliotecas do Android que leem o mesmo APK. A libziparchive só valida o tamanho descompactado de uma entrada ZIP quando ela está marcada como stored. A libandroidfw pergunta outra coisa: se a entrada não é deflated, trata como stored e faz o memory-map pelo tamanho declarado. O campo do método de compressão tem 16 bits, então uma entrada com um valor fora de stored e deflate cai na brecha. Ninguém checa o tamanho, e o mapeamento passa do fim real do arquivo. Quando algum processo lê além disso, o kernel mata o processo com SIGBUS. Na análise da Bitdefender, um APK de poucos kilobytes foi mapeado sobre 16 megabytes num Pixel 10.

O estrago depende de qual arquivo do app está malformado e de quem o lê. Com o manifesto adulterado, só o instalador cai e a instalação falha, que foi o que o dropper bancário empacotado fez nos emuladores da Bitdefender em 12 de agosto de 2026. Com um recurso pequeno que os serviços do sistema leem depois da instalação, o alvo passa a ser o system_server. Ele cai, reinicia, relê o mesmo arquivo e cai de novo, e o modo seguro não ajuda. A saída é factory reset ou, em condições limitadas, scripts ADB correndo contra os crashes. A Bitdefender afirma que a escalada para o boot loop é trabalho próprio e que não viu nenhum dos cenários em uso real. O app não precisa de código nem de permissões.

Segundo a fonte, o Google recebeu dois relatórios, em 20 e 25 de agosto de 2026. Respondeu que o problema está fora do escopo de uma correção de segurança, mas disse ter encaminhado o caso à equipe responsável para possível inclusão numa versão futura. A Bitdefender lembra que o Google já corrigiu uma versão mais fraca do defeito em 2016 (CVE-2016-6724, severidade Moderada). A melhor correção, segundo os pesquisadores, é aceitar só os métodos stored e deflate e rejeitar o resto como inválido.

Para quem opera defesa corporativa ou analisa malware, a ausência de patch muda o jogo. A mitigação fica na triagem: sinalizar APKs com métodos de compressão diferentes de stored ou deflate antes da instalação, em MDM, lojas internas e pipelines de análise. Isso é leitura editorial, mas o risco de recuperação (perda de dados num factory reset) pesa mais em frotas sem backup padronizado. Sem exploração observada, o caso pede atenção, não pânico.