Como uma Cadeia de Exploração de $50.000 Virou o Bixby Contra os Telefones Samsung

Recentemente, dois pesquisadores de segurança revelaram uma cadeia de exploração que permite invadir dispositivos móveis da Samsung, utilizando vulnerabilidades no software da empresa, incluindo o assistente virtual Bixby. A pesquisa foi conduzida por Dimitrios Valsamaras, da Microsoft, e Ken Gannon, do Mobile Hacking Lab, que demonstraram suas descobertas na competição de hacking Pwn2Own na Irlanda, onde ganharam $50.000 ao explorar essas falhas em um dispositivo Samsung Galaxy S25.

A importância desse evento não pode ser subestimada, pois destaca as vulnerabilidades que podem existir em softwares amplamente utilizados, como os da Samsung. O assistente Bixby, que é integrado a muitos smartphones da marca, é um exemplo de como a tecnologia pode ser explorada de maneira maliciosa. A pesquisa foi detalhada em uma apresentação na conferência Black Hat, onde os pesquisadores discutiram as falhas encontradas e como elas foram encadeadas para comprometer o sistema remotamente.

O ataque começa com um usuário sendo enganado a clicar em um link enviado por meio de anúncios maliciosos ou aplicativos de mensagens. Uma vulnerabilidade identificada como CVE-2025-21079 é explorada para forçar o aplicativo Samsung Members a se conectar a um site malicioso. O Samsung Members é um aplicativo pré-instalado em muitos smartphones Galaxy, que serve como uma comunidade de usuários e suporte técnico.

Após a conexão com o site malicioso, uma segunda vulnerabilidade, CVE-2025-58486, é utilizada para forçar o aplicativo Samsung Account a se conectar a um site controlado pelo atacante. Este site, por sua vez, explora uma vulnerabilidade de XSS (Cross-Site Scripting) identificada como CVE-2025-58487, que faz com que o Samsung Account abra o Bixby. Essa sequência de exploração é possível porque o aplicativo Samsung Account possui permissões especiais que permitem interagir com um ponto de entrada específico no Bixby.

Os pesquisadores explicaram que o Samsung Account atua como uma chave para um 'entrada lateral' no Bixby, permitindo que um atacante acesse funcionalidades que normalmente seriam restritas. A próxima fase do ataque envolve um serviço oculto chamado Capsule, que age como um mini servidor interno dentro do aplicativo. Quando um comando de voz é emitido, o Bixby traduz o pedido e o envia para o Capsule, que executa a tarefa.

Os Capsules têm controle direto sobre as funções do aplicativo, e a Samsung restringe o acesso para que apenas o Bixby possa se comunicar com eles. No entanto, os pesquisadores conseguiram reverter a engenharia da infraestrutura do Capsule nos telefones Samsung e descobriram uma maneira de forçar o Bixby a usar os Capsules de forma maliciosa.

Isso permitiu que um atacante exfiltrasse dados sensíveis e obtivesse permissões de nível de sistema no dispositivo Android, o que representa o mais alto nível de privilégio que pode ser alcançado em um dispositivo de consumo padrão.

Uma vez que um atacante obtém permissões de 'sistema', ele pode executar código remotamente e assumir o controle do dispositivo. Os pesquisadores conseguiram reproduzir a exploração em modelos como o Samsung Galaxy S25, S24 e Flip 7. A Samsung começou a corrigir as vulnerabilidades algumas semanas após a competição Pwn2Own, lançando patches para o aplicativo Samsung Members em novembro de 2025, que impediram a cadeia de exploração de ser ativada via navegador ou aplicativo de mensagens.

Os patches lançados em dezembro corrigiram as falhas do Samsung Account. No entanto, os pesquisadores alertaram que o ataque ainda pode funcionar em dispositivos mais antigos da Samsung que podem não ter recebido as correções. É importante notar que a exploração requer que todos os aplicativos-alvo estejam instalados, o que pode não ser o caso em modelos de baixo custo.

A Samsung não respondeu ao pedido de comentário da SecurityWeek sobre o assunto. Essa situação levanta questões significativas sobre a segurança de dispositivos móveis e a responsabilidade das empresas em proteger seus usuários contra tais vulnerabilidades.

Os incidentes de segurança cibernética, como este, ressaltam a necessidade de uma vigilância constante e de atualizações regulares de software para proteger os dados dos usuários. As empresas devem priorizar a segurança em suas inovações tecnológicas, garantindo que as vulnerabilidades sejam identificadas e corrigidas rapidamente.

Além disso, a exploração de vulnerabilidades em assistentes virtuais e aplicativos de suporte destaca a importância de educar os usuários sobre os riscos associados a clicar em links desconhecidos e a importância de manter seus dispositivos atualizados.

Para os executivos e tomadores de decisão, essa situação serve como um alerta sobre a necessidade de investir em segurança cibernética e em práticas de desenvolvimento seguro. A proteção de dados e a confiança do consumidor são fundamentais para o sucesso a longo prazo de qualquer empresa no setor tecnológico.

Em um mundo cada vez mais digital, onde a tecnologia permeia todos os aspectos da vida cotidiana, a segurança cibernética deve ser uma prioridade. A capacidade de um atacante de explorar vulnerabilidades em software amplamente utilizado, como o da Samsung, é um lembrete de que todos os sistemas estão em risco e que a proteção deve ser uma responsabilidade compartilhada.

Em conclusão, a exploração de vulnerabilidades no software da Samsung, incluindo o Bixby, não apenas expõe falhas técnicas, mas também destaca a necessidade de uma abordagem proativa em relação à segurança cibernética. As empresas devem estar preparadas para responder rapidamente a novas ameaças e garantir que suas inovações não comprometam a segurança de seus usuários.