Istniejąca od 4 lat luka naraża 900 milionów urządzeń z Androidem na instalację złośliwej aplikacji

Miesiąc temu pisałam o odkrytej przez Jeffa Forristala z Bluebox Security luce, która pozwala na rootowanie każdej wersji Androida w ten sam sposób. Forristal znalazł metodę modyfikowania aplikacji (plik APK) bez potrzeby ponownego podpisywania jej certyfikatem dewelopera.

Wtedy Forristal mówił głównie o możliwości stworzenia uniwersalnego narzędzia do uzyskiwania uprawnień roota, ale jego najnowszy wpis na blogu Bluebox Security ma już bardziej niepokojący wydźwięk. Forristal pisze: zespół Bluebox Labs odkrył niedawno lukę w modelu bezpieczeństwa Androida, która pozwala hakerom modyfikować kod APK bez naruszania kryptograficznej sygnatury, co pozwala na zamienienie dowolnej „zdrowej” aplikacji w szkodliwego trojana, co przejdzie niezauważone przez sklep, telefon i użytkownika. Luka jest podobno obecna od wersji 1.6 Androida, narażone są więc nawet 4-letnie telefony. Forristal szacuje, że zagrożonych jest prawie 900 milionów urządzeń i praktycznie nie ma ograniczeń w wykorzystaniu luki — od kradzieży danych po budowę botnetu.

Największym zagrożeniem są oczywiście zmodyfikowane aplikacje producentów telefonów, które mają dostęp do wszystkich danych, lub aplikacje typowo korporacyjne, jak narzędzia CISCO, które korzystają ze specjalnych uprawnień systemowych. W tych przypadkach mamy do czynienia nie tylko z możliwością odczytania korespondencji i haseł do różnych usług, ale też całkowitego przejęcia kontroli nad telefonem. Stąd już tylko krok do zbudowania zawsze połączonego, zawsze poruszającego się botnetu.

Luka została zgłoszona Google'owi w lutym i figuruje w raportach jako błąd bezpieczeństwa 8219321. Niestety, możliwości jej załatania zależą od producentów sprzętu, a ci niechętnie wydają aktualizację dla starszych modeli. Póki co, Bluebox poleca szczególną ostrożność przy instalacji aplikacji, zwłaszcza w firmach pozwalających pracownikom korzystać z ich prywatnych urządzeń.

Więcej materiałów na ten temat oraz sposób, w jaki luka została odkryta, pojawi się w Sieci po konferencji Black Hat pod koniec tego miesiąca.