В Android обнаружена серьезная уязвимость

В Android обнаружена серьезная уязвимость

Специалисты компании Bluebox Labs раскрыли информацию об уязвимости в Android, позволяющую злоумышленникам получать доступ к функциям сматфонов и планшетов и хранящимся на них личным данным без разрешения пользователя. Три месяца назад Bluebox Labs известила Google об этой уязвимости, и компания тут же выпустила патч для ее устранения.

Тем не менее, миллионы пользователей остаются в зоне риска. Дело в том, что уязвимость была устранена лишь в последней версии Android, а в версиях начиная с 2.1 (Eclair) и вплоть до 4.3.1 (Jelly Bean) она по-прежнему присутствует. Версия 2.1 была выпущена в январе 2010 г.

В англоязычных изданиях «дыру», найденную Bluebox Labs, назвали «суперуязвимостью нового типа», видимо, потому что она может привести к распространению чрезвычайно вредоносного ПО.

Сами аналитики BlueBox наывают ее Fake ID («поддельное удостоверение»), потому что она позволяет обмануть систему цифровых подписей (сертификатов) приложений и выдать вредоносное приложение за приложение официального поставщика, которому пользователь уже разрешил доступ к системе.

Проблема заключается в самом процессе проверки сертификатов, объяснил в блоге компании технический директор Bluebox Labs Джефф Фористал (Jeff Forristal). В качестве примера он привел ситуацию, когда грабитель подходит к охране и предъявляет поддельный пропуск, а охрана, взглянув на пропуск, пускает его в здание, не удосужившись сделать контрольный звонок в службу, которая выдает удостоверения.

«Android не проверяет, действительно ли дочерняя цифровая подпись связана с родительской цифровой подписью, а просто безоговорочно доверяет этому утверждению. Это фундаментальная проблема самой операционной системы», — говорит Фористал.

Например, приложение объявляет системе, что оно было создано компанией Adobe Systems, приводит пример эксперт. Android это утверждение не проверяет и наделяет приложение привилегиями, доступными официальным приложениям от Adobe. В результате хакер может внедрить в систему вредоносный код, прикрываясь плагином Flash. Другой пример заключается в использовании сертификата приложения Google Wallet, имеющего доступ к функции NFC.

Или, например, злоумышленник может воспользоваться правами программного обеспечения 3LM, которое HTC, Sony, Sharp и Motorola использовали для кастомизации графических оболочек на выпускаемых устройствах. Получив привилегии 3LM, злоумышленник может получить права на совершение всех действий, которые разрешены 3LM, включая удаление и установку приложений любого содержания.

Подобная уязвимость обнаруживается в Android не в первый раз. В июле 2014 г. специалисты этой же компании, Bluebox, нашли в операционной системе баг, позволяющий хакеру модифицировать код установочного APK-файла и превратить в троян любое подлинное приложение. Как сообщили эксперты, данная ошибка существует на 900 млн устройств под управлением разработанной Google операционной системы. 

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Шифровальщики, хактивизм останутся угрозой для АСУ ТП и в 2025-м

Команда ICS CERT «Лаборатории Касперского» рассказала, какие киберриски для промпредприятий она видит в этом году. Программы-шифровальщики и хактивизм, по мнению экспертов, сохранят актуальность как угроза, однако наметились и новые вызовы.

Прогноз составлен с учетом глобальных процессов, оказывающих влияние на ландшафт киберугроз. Активное освоение прорывных технологий, таких как ИИ, усложнение цепочек поставок, растущая геополитическая нестабильность повышают риски, в том числе в сфере производства.

Кража информации о новых технологиях. Спрос на инновации растет, и APT-группы все чаще атакуют НИИ, предприятия, подрядчиков и партнерские сети в попытках добыть конфиденциальную информацию.

Искусственные барьеры и санкционные войны провоцируют пиратство и создание небезопасных модификаций продуктов, не говоря уже о вредоносных имитациях.

Внедрение ИИ, ML и других инновационных технологий повышает риск случайного слива конфиденциальной информации и взлома систем с доступом к данным, потеря которых грозит серьезными последствиями.

В ОТ-средах стали чаще использоваться Linux-системы, однако их защита от целевых атак в таких условиях может оказаться сложной задачей.

Усложнение цепочек поставок повышает их уязвимость: далеко не все подрядчики имеют возможности и желание вкладываться в кибербезопасность. Собственные разработки в этом плане не выход, так как в них придется сразу учитывать аспекты ИБ, то есть нанимать специалистов, либо как-то защищать уже после развертывания, что непросто.

Рост объемов доступной технической информации, в том числе слитой в паблик в результате взломов, упрощают подготовку и проведение атак, а недостающие данные злоумышленники добирают, проникнув в сети.

«Чтобы противостоять этим рискам, промышленным предприятиям необходимо внедрять проактивные меры безопасности, следовать принципам конструктивной кибербезопасности в своих собственных разработках и требовать высокого уровня зрелости информационной безопасности от своих вендоров, поставщиков и технологических партнёров», — отметил глава Kaspersky ICS CERT Евгений Гончаров.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru