Carrier IQ: mais um escândalo de segurança em dispositivos móveis

Um hacker e usuário do fórum xda-developers, Trevor Eckhart ou "TrevE", descobriu a poucos dias em vários dispositivos Android  um programa que roda continuamente sem conhecimento do usuário e não pode ser desinstalado ou parado, que alguns já estão classificando de rootkit. Ele monitora e envia eventos do smartphone como teclas pressionadas, SMS, acessos na web (incluindo https decriptado), etc. O escândalo é porque este software malicioso foi incluído pelas fabricantes e operadoras. Chamado de "Carrier IQ" (que também é o nome da empresa que o produz), não se sabe exatamente a extensão da ameaça, mas a empresa envolvida no seu desenvolvimento vem emitindo sinais contraditórios que indicam que a coisa não é simples: ameaçaram processar o hacker, voltaram atrás, emitiram comunicados desmentindo a gravidade. É um assunto a ser acompanhado com cuidado nos próximos dias. O que está em jogo é a privacidade e a segurança de milhões de usuários que cada vez mais adotam smartphones na sua vida diária, e para cada vez mais usos.

A lista de fabricantes e aparelhos afetados é extensa, mas ao que parece meu Nexus S não está entre eles. A Google rejeitou a instalação do software nos aparelhos projetados diretamente por ela. Não sei ainda se estaria incluído em ROMs custom AOSP (compiladas a partir do fonte aberto), como o CM7. Caso confirmado que não contém, seria mais um bom motivo para adotá-las. Já existe um aplicativo desenvolvido pelo próprio TrevE para detectar a existência deste programa no smartphone.

Um artigo bem detalhado aqui, que inclui o vídeo do TrevE demonstrando os resultados a que chegou:

How Deep Does The Rabbit Hole Go? An In-Depth Look At Carrier IQ, The Data It Logs, And What's Really Going On

Acompanhe o desenrolar dos fatos também aqui:

Carrier IQ tracking on Android, iPhone, BlackBerry, and more: the story so far

[Update] Mais um artigo interessante sobre o assunto:

How much of your phone is yours?