Bitdefender 5 ноября раскрыла GhostMap: в её опытах установка специально подготовленного приложения оставляла Android в цикле системных сбоев. Приложение не содержит исполняемого кода, не запрашивает разрешений и не требует запуска. Исследователи показали сбой на Pixel 10 с Android 17 и патчем от 5 августа; также сообщают о воспроизведении на версиях начиная с Android 10.

Причина — разные правила чтения APK, установочного архива приложения. Один компонент Android пропускает проверку размера записи, которую другой затем читает за пределами реального файла. Когда такой ресурс автоматически обрабатывает системная служба, она падает, перезапускается и снова читает тот же файл. Безопасный режим тоже не разрывает цикл.

Восстановление может потребовать заводского сброса с потерей локальных данных. Удаление файла через компьютер возможно лишь в ограниченных условиях: отладка должна быть включена заранее, а после полной перезагрузки это окно закрывается. Устойчивый цикл продемонстрирован исследователями; атак с его использованием Bitdefender не наблюдала.

Это другой механизм, чем ранее описанное «невидимое SMS»: там повторно обрабатывалась очередь сообщений и отказывала сотовая связь, здесь нужна установка APK и падает основная системная служба.

По сообщению Bitdefender, после обращений 20 и 25 августа Google отнесла проблему за рамки исправления безопасности, передав её профильной команде для возможного будущего обновления. На дату раскрытия исследователи сообщают об отсутствии исправления.