Nowy typ ataku: zaktualizuj swojego Androida, uaktywnij nieswojego szkodnika

Artykuł pt. Upgrading Your Android, Elevating My Malware:Privilege Escalation Through Mobile OS Updatingto wynik prac informatyków z Indiana University Bloomington: LuyiXinga, Xiaorui Pana, Kan Yuana and XiaoFeng Wanga, współpracującychz ekspertem Microsoftu, Rui Wangiem. Autorzy przyjrzeli sięzabezpieczeniom procesu instalacji łatek – Package ManagementService (PMS). Odkryli w nim ciekawe błędy, związane z obsługąprzez PMS aktualizacji systemowych dla przeróżnych wersji Androida.

Okazuje się, że PMS niewłaściwie obsługuje aplikacje nastarszych wersjach Androida, które żądają nieistniejących tamuprawnień systemowych, przyznając im te uprawnienia automatyczniewraz z aktualizacją systemu. Błędy tego typu otrzymały nazwę*kolizji *(pileup flaws).Wykorzystując je, napastnik może przygotować złośliwąaplikację, która początkowo będzie zachowywała się niewinnie –aż do aktualizacji Androida, kiedy to otrzyma uprawnienia dostępowedo wrażliwych danych użytkownika, np. danych logowania. W tensposób można nawet przejąć kontrolę nad nowym mechanizmempodpisów i uprawnień systemowych, zyskując w ten sposób pełnąkontrolę nad telefonem czy tabletem ofiary.

Okazji do takiego ataku jestwiele. Nowe wersje Androida pojawiają się średnio co 3,5 miesiąca.Każda aktualizacja powoduje zmianę dziesiątków tysięcy plików.Każda nowa aplikacja musi być precyzyjnie skonfigurowana. Jejatrybuty ustawione muszą być w granicach sandboksa i jegoprzywilejów systemowych, by nie uszkodzić istniejących aplikacji idanych użytkownika. *To komplikuje logikę programuinstalującego takie aktualizacje, czyniąc go podatnym na krytycznebłędy bezpieczeństwa *–twierdzą badacze.

Zdaniem ekspertów, choć podatnena kolizje są wszystkie wersje Androida, to szczególnie zagrożonesą autorskie wersje producentów sprzętu. Jeśli już bowiemaktualizują oprogramowanie systemowe swoich urządzeń, to starająsię, by cały proces był dla użytkownika bezbolesny, by jego dane,ustawienia i zainstalowane aplikacje zostały zachowane. Podczasaktualizacji PMS porównuje dla wszystkich aplikacji ich zbioryuprawnień i automatycznie przyznaje nowe, żądane przez aplikacjeuprawnienia, by nie nękać użytkownika seriami pytań o zgodę,zakłada bowiem, że aplikacja w swoim zakresie dopuszczalnychdziałań została już zaakceptowana.

Sprytny napastnik może w tensposób nawet wprowadzić fałszywy komponent systemowy, noszącynazwę swojego oryginalnego odpowiednika z nowszej wersji systemu.Komponent taki zostaje wyniesiony do przestrzeni systemowej podczaspoinstalacyjnych porządków. To samo może się stać, gdy łączonesą dwie aplikacje ze starej i nowej wersji systemu – wystarczy, bystara wersja zawierała w sobie nieaktywny do tej pory złośliwykod.

Informacje o sześciuznalezionych podatnościach kolizyjnych badacze przesłali już doGoogle, które jak do tej pory załatało jedną z nich. Oprócz tegoprzygotowali skaner SecUP (dostępny już w GooglePlay), który pozwala sprawdzić zainstalowane w systemieaplikacje. Identyfikuje on potencjalne naruszenia ograniczeńaplikacji pod kątem możliwych problemów z wyniesieniem uprawnieńpodczas aktualizacji. Weryfikuje w tym celu wersję usługi PMS,wyszukuje obrazy systemowe Androida, by znaleźć miejscapotencjalnych zagrożeń, a następnie odwołuje się do gromadzonychw bazie danych informacji o szkodliwych aplikacjach.

Choć skala zagrożeniapotencjalnie jest ogromna, na ataki kolizyjne podatnych może byćponad miliard urządzeń, to odradzamy panikowanie, a zalecamyskorzystanie ze skanera SecUP. Zresztą, jeśli nie instalujemy jakpopadnie aplikacji z podejrzanych chińskich sklepów zoprogramowaniem, nie powinniśmy natrafić na malware korzystające ztego typu metod zarażenia systemu. Trzeba pamiętać, że Androidmiał już poważniejszeluki w zabezpieczeniach, udało się jednak je usunąć.

Z całym artykułem zapoznać sięmożecie tutaj.