​L'«Sms della morte» che manda in tilt gli smartphone Android

Le vulnerabilità legate alla ricezione di stringhe di dati anomale o caratteri speciali non sono una novità nel panorama mobile, ma continuano a rappresentare un'insidia concreta per la stabilità dei dispositivi. Quando si parla di «SMS della morte», ci si riferisce a particolari sequenze di caratteri o codifiche Unicode che, una volta ricevute e elaborate dall'applicazione di messaggistica predefinita di Android, mandano in crash il sistema operativo o bloccano il telefono in un riavvio continuo (bootloop).

​Come funziona il problema

Il vettore d'attacco sfrutta quasi sempre un difetto di gestione delle notifiche o del rendering del testo all'interno dell'interfaccia utente (UI) o del framework di sistema.

- ​Parsing errato: Quando il sistema riceve il messaggio, tenta di interpretarlo per mostrarlo a schermo o generare la notifica.

- ​Saturation / Crash: Sequenze specifiche di caratteri Unicode complessi, combinazioni di lingue non latine o stringhe binarie non gestite correttamente causano un errore di memoria o un'eccezione non gestita nel demone di sistema (spesso legato ai servizi di telefonia o ai Google Play Services).

- ​Il Loop: Poiché l'app di messaggistica o il sistema operazione tentano di ricaricare l'ultimo messaggio ricevuto subito dopo il riavvio, il telefono si ritrova intrappolato in un ciclo continuo di crash e reboot.

​I precedenti storici su Android

​Negli anni, diverse varianti di questo problema hanno interessato varie versioni di Android:

​

1. La stringa Unicode del 2015 (Android 5.1): Un mix di caratteri arabi, telugu e simboli speciali che causava il crash immediato di WhatsApp e dell'intera interfaccia se ricevuto tramite notifica.

2. ​Il bug del carattere Telugu (2018): Un singolo carattere della lingua Telugu (India) inviato tramite qualsiasi app di messaggistica (inclusi Telegram, Messenger e SMS) mandava in blocco il processo di rendering (libgui), costringendo gli utenti a cancellare la chat incriminata da recovery mode o via ADB.

3. ​Le varianti basate su vCard o stringhe binarie: File di contatto corrotti inviati via SMS che saturavano il buffer della rubrica o dei messaggi.

​Come difendersi e cosa fare in caso di contagio

​Sebbene i produttori e Google rilascino rapidamente patch di sicurezza mensili per chiudere queste falle alla radice, il rischio zero non esiste, soprattutto sui dispositivi più datati che non ricevono più aggiornamenti.

- ​Non aprire link o messaggi sospetti: Se ricevi SMS da mittenti sconosciuti contenenti stringhe illeggibili, simboli bizzarri o formati anomali, evita di espandere la notifica.

- ​Disattiva l'anteprima delle notifiche: Impedire che il testo dei messaggi compaia nella schermata di sblocco (Lock Screen) riduce drasticamente la probabilità che il sistema elabori il payload dannoso prima del tuo intervento.

​Come risolvere il blocco (Bootloop): Se il telefono è già caduto nel loop di riavvio:

1. ​Spegni il dispositivo (se possibile) e accedi alla Recovery Mode (combinazione di tasti Volume Giù/Su + Accensione a seconda del produttore).

2. ​Se riesci ad avviare in Modalità Provvisoria (Safe Mode), disinstalla o cancella i dati dell'applicazione di messaggistica che ha ricevuto il file.

3. ​Nei casi più gravi, l'unica soluzione per ripristinare la funzionalità del terminale è un Factory Reset (cancellazione totale dei dati).

​La sicurezza informatica passa anche dalla resilienza dei protocolli di base: finché i sistemi di codifica dei caratteri non saranno immuni a questi "straripamenti" logici, la prudenza nella gestione dei messaggi in arrivo resta la prima linea di difesa.