Le vulnerabilità legate alla ricezione di stringhe di dati anomale o caratteri speciali non sono una novità nel panorama mobile, ma continuano a rappresentare un'insidia concreta per la stabilità dei dispositivi. Quando si parla di «SMS della morte», ci si riferisce a particolari sequenze di caratteri o codifiche Unicode che, una volta ricevute e elaborate dall'applicazione di messaggistica predefinita di Android, mandano in crash il sistema operativo o bloccano il telefono in un riavvio continuo (bootloop).
Come funziona il problema
Il vettore d'attacco sfrutta quasi sempre un difetto di gestione delle notifiche o del rendering del testo all'interno dell'interfaccia utente (UI) o del framework di sistema.
- Parsing errato: Quando il sistema riceve il messaggio, tenta di interpretarlo per mostrarlo a schermo o generare la notifica.
- Saturation / Crash: Sequenze specifiche di caratteri Unicode complessi, combinazioni di lingue non latine o stringhe binarie non gestite correttamente causano un errore di memoria o un'eccezione non gestita nel demone di sistema (spesso legato ai servizi di telefonia o ai Google Play Services).
- Il Loop: Poiché l'app di messaggistica o il sistema operazione tentano di ricaricare l'ultimo messaggio ricevuto subito dopo il riavvio, il telefono si ritrova intrappolato in un ciclo continuo di crash e reboot.
I precedenti storici su Android
Negli anni, diverse varianti di questo problema hanno interessato varie versioni di Android:
1. La stringa Unicode del 2015 (Android 5.1): Un mix di caratteri arabi, telugu e simboli speciali che causava il crash immediato di WhatsApp e dell'intera interfaccia se ricevuto tramite notifica.
2. Il bug del carattere Telugu (2018): Un singolo carattere della lingua Telugu (India) inviato tramite qualsiasi app di messaggistica (inclusi Telegram, Messenger e SMS) mandava in blocco il processo di rendering (libgui), costringendo gli utenti a cancellare la chat incriminata da recovery mode o via ADB.
3. Le varianti basate su vCard o stringhe binarie: File di contatto corrotti inviati via SMS che saturavano il buffer della rubrica o dei messaggi.
Come difendersi e cosa fare in caso di contagio
Sebbene i produttori e Google rilascino rapidamente patch di sicurezza mensili per chiudere queste falle alla radice, il rischio zero non esiste, soprattutto sui dispositivi più datati che non ricevono più aggiornamenti.
- Non aprire link o messaggi sospetti: Se ricevi SMS da mittenti sconosciuti contenenti stringhe illeggibili, simboli bizzarri o formati anomali, evita di espandere la notifica.
- Disattiva l'anteprima delle notifiche: Impedire che il testo dei messaggi compaia nella schermata di sblocco (Lock Screen) riduce drasticamente la probabilità che il sistema elabori il payload dannoso prima del tuo intervento.
Come risolvere il blocco (Bootloop): Se il telefono è già caduto nel loop di riavvio:
2. Se riesci ad avviare in Modalità Provvisoria (Safe Mode), disinstalla o cancella i dati dell'applicazione di messaggistica che ha ricevuto il file.
3. Nei casi più gravi, l'unica soluzione per ripristinare la funzionalità del terminale è un Factory Reset (cancellazione totale dei dati).
La sicurezza informatica passa anche dalla resilienza dei protocolli di base: finché i sistemi di codifica dei caratteri non saranno immuni a questi "straripamenti" logici, la prudenza nella gestione dei messaggi in arrivo resta la prima linea di difesa.