Oprogramowanie

Aplikacje na Androida z milionami pobrań są podatne na poważne ataki

Aplikacje na Androida z milionami pobrań są podatne na poważne ataki

Aplikacje na Androida z setkami milionów pobrań są podatne na ataki, które umożliwiają złośliwym aplikacjom kradzież kontaktów, danych logowania, prywatnych wiadomości i innych poufnych informacji. Firma bezpieczeństwa Check Point powiedziała, że ​​dotyczy to przeglądarki Edge, rejestratora wideo i ekranu XRecorder oraz edytora wideo PowerDirector.

Luka w rzeczywistości znajduje się w podstawowej bibliotece Google Play, która jest zbiorem kodu stworzonym przez Google. Biblioteka umożliwia aplikacjom usprawnienie procesu aktualizacji, na przykład poprzez otrzymywanie nowych wersji w czasie wykonywania i dostosowywanie aktualizacji do konkretnej konfiguracji aplikacji lub konkretnego modelu telefonu, na którym działa aplikacja.

Podstawowa luka w zabezpieczeniach

W sierpniu firma zabezpieczająca Oversecured ujawniła błąd bezpieczeństwa w podstawowej bibliotece Google Play, który pozwolił jednej zainstalowanej aplikacji na wykonanie kodu w kontekście dowolnej innej aplikacji, która opierała się na podatnej wersji biblioteki.

Luka ta wynikała z błędu przechodzenia przez katalog, który umożliwiał niezaufanym źródłom kopiowanie plików do folderu, który miał być zarezerwowany tylko dla zaufanego kodu otrzymanego z Google Play. Luka podważyła podstawową ochronę wbudowaną w system operacyjny Android, która uniemożliwia jednej aplikacji dostęp do danych lub kodu należącego do innej aplikacji.

Oto obraz, który ilustruje, jak może działać atak:

Punkt kontrolny

Google załatał błąd biblioteki w kwietniu, ale aby naprawić aplikacje podatne na ataki, programiści muszą najpierw pobrać zaktualizowaną bibliotekę, a następnie włączyć ją do kodu aplikacji. Według wyników badań firmy Check Point nietrywialna liczba programistów nadal korzystała z podatnej na ataki wersji biblioteki.

Badacze Check Point, Aviran Hazum i Jonathan Shimonovich, napisali:

Kiedy połączymy popularne aplikacje, które wykorzystują bibliotekę Google Play Core i lukę w zabezpieczeniach Local-Code-Execution, możemy wyraźnie dostrzec zagrożenia. Jeśli złośliwa aplikacja wykorzysta tę lukę, może wykonać kod w popularnych aplikacjach i mieć taki sam dostęp jak aplikacja, której dotyczy luka.

Możliwości ogranicza tylko nasza kreatywność. Oto kilka przykładów:

  • Wstaw kod do aplikacji bankowych, aby pobrać dane uwierzytelniające, a jednocześnie uzyskaj uprawnienia SMS do kradzieży kodów uwierzytelniania dwuskładnikowego (2FA).
  • Wstrzykuj kod do aplikacji korporacyjnych, aby uzyskać dostęp do zasobów korporacyjnych.
  • Wstrzykuj kod do aplikacji społecznościowych, aby szpiegować ofiarę, i użyj dostępu do lokalizacji do śledzenia urządzenia.
  • Wstaw kod do aplikacji komunikatorów, aby pobrać wszystkie wiadomości i ewentualnie wysłać wiadomości w imieniu ofiary.

Zobaczyć to uwierzyć

Aby zademonstrować exploit, firma Check Point wykorzystała szkodliwą aplikację typu proof-of-concept do wykradnięcia pliku cookie uwierzytelniania ze starej wersji przeglądarki Chrome. Posiadanie pliku cookie umożliwia atakującemu uzyskanie nieautoryzowanego dostępu do konta Dropbox ofiary.

Przejęcie konta wykorzystujące lukę w kodzie podstawowej biblioteki Play dla Androida – wersja demonstracyjna.

Check Point zidentyfikował 14 aplikacji, które łącznie pobrały prawie 850 milionów pobrań, które pozostały podatne na ataki. W ciągu kilku godzin od opublikowania raportu firma zajmująca się bezpieczeństwem poinformowała, że ​​programiści niektórych z wymienionych aplikacji wydali aktualizacje, które naprawiły lukę.

Aplikacje zidentyfikowane przez Check Point obejmowały Edge, XRecorder i PowerDirector, które łącznie zainstalowały 160 milionów. Check Point nie wskazał, że którakolwiek z tych aplikacji została naprawiona. Ars poprosił programistów wszystkich trzech aplikacji o skomentowanie raportu. Ten post zostanie zaktualizowany, jeśli odpowiedzą.

Zostaw komentarz

Maciek Luboński
Z wykształcenia jestem kucharzem , ale to nie przeszkadza mi pisać dla Was tekstów z wielu ciekawych dziedzin , których sam jestem fanem.Piszę dużo i często nie na tak jak trzeba , ale co z tego skoro tak naprawdę liczy się pasja.

Najlepsze recenzje

Video

gallery

Facebook