Fortnite dla Androida nie był bezpieczny. Google się zemścił, ucierpią gracze

Instalator Fortnite nie jest dostępny w Google Play i od momentu ogłoszenia tego przez Epic Games specjaliści ostrzegali, że to ryzykowna decyzja. Ponadto nie pobieramy gry od razu – najpierw musimy zainstalować aplikację towarzyszącą, która ściągnie grę i pomoże w logowaniu. To daje atakującym sporo czasu na modyfikację pobieranych plików. Instalator nie zabezpieczał dostatecznie dobrze procesu instalacji, przez co można było podmienić pobierane pliki na urządzeniu i załadować malware zamiast prawdziwej gry. W efekcie istniało ryzyko, że korzystając z prawdziwego instalatora, mogliśmy zainstalować złośliwą aplikację z szerokimi uprawnieniami bez wiedzy o tym.

Na atak Man-in-the-Disk podatnych jest wiele aplikacji, przechowujących dane w pamięci zewnętrznej, a zaatakować ją może dowolna aplikacja z uprawnieniami zapisu (WRITE_EXTERNAL_STORAGE). Co więcej, wstrzyknięta aplikacja odziedziczy wszystkie uprawnienia atakowanej, jak dostęp do położenia, aparatu, SMS-ów czy połączeń, jeśli docelowa wersja SDK aplikacji atakującej to 22 lub niższa (targetSdkVersion). Badacze odkryli, że na urządzeniach Samsunga, korzystając z API Galaxy Apps, można w ten sposób wstrzyknąć dowolną szkodliwą aplikację, o ile będzie się zgadzać nazwa pakietu (com.epicgames.fortnite). Nie jest jasne, czy wczesne wersje instalatora na innych urządzeniach także dało się oszukać w ten sposób.

Podatność instalatora Fortnite to punkt dla Google'a. Google Play zapewnia pewną kontrolę aplikacji, która przynajmniej częściowo chroni nas przed szkodliwymi działaniami cyberprzestępców. Przed tą luką jednak Google Play by nas nie ochronił. Odkrywcy Man-in-the-Disk informowali, że podatne były nawet aplikacje Google, w tym popularny podczas wakacyjnych podróży Tłumacz. Większym problemem jest to, że by zainstalować Fortnite na swoim smartfonie, użytkownik musi wyłączyć weryfikację APK pochodzących z zewnętrznych źródeł. Zwykle nie włącza jej ponownie, gdyż zajmuje się graniem, a nie dbaniem o swoje bezpieczeństwo. Niedoświadczony użytkownik w ten sposób otwiera drogę złośliwym aplikacjom, które mogą wykorzystać podatność bardzo popularnej gry.

Ponieważ początkowo gra była dostępna tylko dla urządzeń Smasunga w Galaxy Apps Store, luka dotyczyła niewielkiej liczby smartfonów. Studio Epic Games zostało powiadomione o tym problemie 15 sierpnia, potwierdziło jego istnienie i wydało łatkę w ciągu kolejnych 48 godzin. Instalator 2.1.0 i nowsze są już bezpieczne. Epic nie podaje, czy luka została wykorzystana w jakimś realnym ataku.

CEO Epic Games ma jednak powody podejrzewać, że Google toczy wojnę podjazdową. Wśród „białych kapeluszy” powszechna jest praktyka, by przed ujawnieniem odkrytej luki dać producentowi oprogramowania 90 dni na załatanie jej. Tymczasem Google czekał jedynie tydzień. Nie pomogły prośby Epic Games, by przynajmniej dać licznym graczom czas na zainstalowanie bezpiecznej wersji instalatora. Google zaryzykował bezpieczeństwo użytkowników, by zdobyć jakąś przewagę. To zemsta za to, że Fortnite nie jest dostępny w Google Play. Kto wie, czy to nie był główny powód, dla którego specjaliści z Google'a w ogóle wzięli się za szukanie luk w tej grze.

Jeśli macie już dostęp do bety Fortnite na swoich smartfonach, zalecamy pobranie najnowszego instalatora.