Hace pocos dias, investigadores de Secure Disclosure dieron a conocer una falla crítica en el diseño de los SoC de Unisoc, la cual permite a un atacante tomar el control absoluto del sistema a través de una simple videollamada.
Esta vulnerabilidad revela una cadena de explotación de dos etapas que culmina en la ejecución de código a nivel del kernel. Lo más alarmante es que el fabricante de semiconductores, cuyos chips potencian dispositivos de marcas como Motorola, Realme y Xiaomi en más de ciento cuarenta países, no ha emitido ningún parche ni respuesta oficial, dejando millones de terminales expuestos a ataques de escalada de privilegios local sin interacción del usuario.
Análisis de la cadena de explotación
El asalto comienza desde el exterior mediante el control de una red celular 4G privada. Para construir el entorno de prueba, los investigadores utilizaron una red central de código abierto basada en Open5GS y Kamailio, interconectada a través de una radio definida por software (LimeSDR) y tarjetas SIM especializadas.
Desde esta infraestructura, el atacante inicia una videollamada utilizando una vulnerabilidad de Ejecución remota de código (RCE) en el firmware del módem descubierta en marzo de 2026, el atacante envía paquetes SIP malformados. Cuando la víctima responde a la llamada, el primer componente del ataque infecta el módem del dispositivo, estableciendo la cabeza necesaria para lanzar la segunda y más devastadora fase de la intrusión.
Vulnerabilidad (CWE-1189)
El verdadero problema de seguridad radica en un defecto clasificado como CWE-1189, que describe un aislamiento inadecuado de recursos compartidos. En los chips Unisoc, el procesador del módem y el procesador de aplicaciones (donde se ejecuta Android) comparten el mismo espacio de memoria física.
Al no existir un aislamiento estricto impuesto por hardware, el código malicioso ejecutado en el módem puede alterar los registros del coprocesador de la arquitectura ARM. Mediante instrucciones específicas en ensamblador, el atacante desactiva las protecciones de la primera región (ID 0) de la Unidad de Protección de Memoria (MPU). Esta reconfiguración asigna todo el espacio de direcciones físicas de 32 bits como legible, escribible y ejecutable, exponiendo directamente la dirección física donde reside el kernel de Android.
Sin embargo, inyectar el código final no es una tarea sencilla debido a las limitaciones del protocolo de red. El mensaje SIP utilizado como vector de ataque fragmenta la carga útil en bloques de memoria esparcidos por el montón (heap) del módem, separados por espacios vacíos. Para solucionar esto, los atacantes implementaron un sofisticado mecanismo de «Egg Hunter» escrito en ensamblador.
Este pequeño programa rastrea metódicamente la memoria del módem en busca de una firma hexadecimal específica que marca el inicio de cada fragmento malicioso. Una vez localizados, el «Egg Hunter» extrae y reensambla los bloques contiguamente en una dirección de memoria específica, preparando el terreno para la sobrescritura del núcleo.
Con la carga útil completamente reensamblada y las protecciones de la MPU desactivadas, el exploit procede a inyectar el código malicioso o shellcode directamente en la memoria del sistema operativo. La inyección se divide en dos secciones estratégicas: la primera sobrescribe una función de compatibilidad del sistema, mientras que la segunda instala un «trampolín» o salto de ejecución en la función vital de apertura de archivos del sistema.
Para evitar colapsos del dispositivo por ejecuciones múltiples, el código incorpora un mutex o bloqueo de exclusión mutua en la sección de memoria no inicializada. Cuando el kernel de Android intenta operar normalmente, el trampolín redirige el flujo de ejecución hacia el shellcode inyectado, confirmando el acceso total al registrar el éxito del exploit directamente en los registros del núcleo.
Este nivel de acceso no es un incidente aislado en la historia de Unisoc ya que en noviembre de 2025, investigadores de Kaspersky documentaron una condición idéntica en procesadores utilizados en sistemas de infoentretenimiento de vehículos, y en 2022 Check Point Research reportó vulnerabilidades similares.
A pesar de que los equipos de prueba confirmaron la eficacia de esta nueva cadena de exploits en modelos recientes como el Motorola E13, el Realme C33 y el Xiaomi Redmi A5 con parches de seguridad actualizados hasta 2026, la falta de respuesta del fabricante y la ausencia de soluciones en los boletines de Android no muestran un buen panorama para los usuarios.
Hasta que se despliegue una actualización del firmware del módem que fortifique las políticas de la Unidad de Protección de Memoria, la infraestructura móvil de millones de usuarios seguirá siendo vulnerable a atacantes con la capacidad de simular redes celulares.
Si estas interesado en poder conocer mas al respecto, puedes consultar los detalles en el siguiente enlace.
Continúar leyendo...