Jak zainstalować malware na Androidzie bez wiedzy użytkownika
Jon Oberheide może być znany części z Was jako twórca przykładowej aplikacji malware (proof-of-concept) na Androida. Nazywała się ona Twilight Eclipse i była pierwszą (ale już nie jedyną), którą Google musiało zdalnie usunąć z telefonów pracujących pod kontrolą Androida. Dzisiaj Jon opublikował tekst na temat swojego niesamowicie prostego i — co ważne — udanego ataku na Androida, jakiego niedawno dokonał.
Jon szukał usterki, która umożliwiłaby mu wygranie 15 tysięcy dolarów w konkursie Pwn2Own i zauważył coś niezwykle interesującego. Okazało się, że strona Android Web Market nie dba o typ treści umieszczanej w opisie programu. Oznacza to, że w opisie całkowicie niewinnej aplikacji można umieścić tekst zawierający kod JavaScript wykonywany w przeglądarce użytkownika.
Sam ten fakt nie byłby specjalnie niebezpieczny (poza oczywistą furtką dla szeregu innych ataków XSS ;>) gdyby nie to, że Google oferuje możliwość instalowania aplikacji z poziomu przeglądarki. Zarówno tej w telefonie, jak i tej na komputerze użytkownika. Rozwiązanie bardzo wygodne, ale jak się okazało — również niebezpieczne.
Istnieje kilka sposobów na umieszczenie aplikacji spoza sklepu na telefonie, jeden z nich — instalacja jako dodatek istniejącej aplikacji — Oberheide opisuje na swoim blogu. Dość powiedzieć, że uprzywilejowany kod może zainfekować telefon użytkownika przeglądającego stronę sklepu bez jego wiedzy, zarówno z poziomu telefonu jak i komputera.
Autor znaleziska mając wątpliwości, czy kwalifikuje się ono do Pwn2Own, zgłosił je Google. Niestety dla niego — kwalifikowała się. Usterka naprawiona została tydzień temu i nie jest już groźna, ale pokazuje jak niebezpieczne mogą być nowe, interesujące z punktu widzenia użyteczności funkcje. Instalacja aplikacji z poziomu przeglądarki stała się nową, niewystarczająco zabezpieczoną powierzchnią ataku, który można było przeprowadzić przy użyciu bardzo prymitywnych, znanych od wielu lat technik.
Przegranym w tym wszystkim zdaje się być Jon, który zgłaszając usterkę poza konkursem, nie będzie w stanie użyć jej w konkurencji i co za tym idzie — wygrać jej. Za zgłoszenie błędu otrzymał 1337 dolarów, co jest elitarne, ale z pewnością nie zasili budżetu z mocą, z jaką mogłoby 15 tysięcy. Najgorsze jednak dla autora jest to, że nie będzie mógł zaprezentować swojego prostego znaleziska na forum, na którym najpoważniejsi specjaliści od zabezpieczeń używają szczególnie wysublimowanych, często nowatorskich technik.