Главная » Хабрахабр » Security Week 31: Пятьдесят оттенков небезопасности в Android

Security Week 31: Пятьдесят оттенков небезопасности в Android

Давно мы что-то не писали про безопасность Android. В целом ситуация там вроде бы неплохая: таких серьезных проблем, как трехлетней давности баг Stagefright, пока не находили. С 2016 года развивается программа Android One, в которой устройства среднего уровня получают единую версию ОС и, соответственно, максимально быструю доставку обновлений безопасности. Скорость доставки апдейтов до традиционных вендоров тоже, по данным Google, ускорилась.

Недавно мы писали про необычный Android-смартфон, притворяющийся десятым айфоном, в котором какая-либо защита данных пользователя вовсе отсутствует. Но не то чтобы стало совсем хорошо. А вот компания Kryptowire проанализировала (новость) прошивки множества обычных смартфонов, которые продаются по всему миру. Но это экзотика. Одно дело, когда уязвимость найдена в исходном коде Android: ей, как правило, подвержены все устройства, но поэтому и закрывается она быстро. В 25 разных моделях были обнаружены серьезные прорехи в безопасности.
Это понятный, но все же довольно свежий взгляд на безопасность Android. Другое дело — проблема, привнесенная в ходе модификации стокового Android конкретным производителем: она может сидеть в прошивке годами.

Большинство уязвимостей относятся к сценарию «вредоносное приложение получает доступ туда, куда не следовало». Что в итоге нашли? Там же была найдена возможность получения доступа к системным логам и отправки таковых через Интернет. Например, на телефоне LG G6 приложение без особых привилегий может заблокировать устройство так, что поможет только сброс до заводских настроек (иным способом разблокировка возможна, если заранее был включен отладочный интерфейс ADB). На Asus ZenFone 3 Max есть возможность выполнения команд с системными привилегиями из любого приложения. В телефоне Essential Phone любое приложение может стереть абсолютно всю информацию с устройства.

В презентации компании на DEF CON было отмечено, что это ослабление норм изоляции приложений вызвано именно особенностями конкретной реализации Android. Ну и так далее. Это, конечно, не так эпично, как 100+ смартфонов с активным бэкдором, но, кажется, впервые исследования безопасности пошли дальше по цепочке разработки, не ограничиваясь только анализом кода самого Android. В эталонном стоковом варианте ОС таких проблем нет. Этим занимаются люди, и они могут совершать ошибки. Будь он хоть сто раз неуязвим, его модифицируют для работы на конкретном железе, у конкретного оператора, с конкретным софтом.

Компания Check Point там же, на DEF CON, рассказала (новость, исследование) про атаку типа Man in the Disk. Кстати, про цепочку. Для примера исследователи взяли приложения Google Translate, Яндекс.Переводчик и Xiaomi Browser. Это такое модное название для в общем-то банальной ситуации: когда одно приложение складывает данные во внешнюю память, а другое их модифицирует.

Все потому, что доступ к этой внешней памяти (грубо говоря, к карте microSD) возможен из любого другого приложения. Про это вроде бы безобидное действие сам Google в рекомендациях по защите приложений в Android пишет, что валидность данных, считываемых из внешней памяти, надо проверять, а исполняемые файлы там желательно не хранить.

Само по себе это не так страшно, но в других программах теоретически возможны и перехват управления, и кража данных. Так вот, в переводчиках Гугла и Яндекса исследователям удалось вызвать сбой приложения, подменив хранящиеся в общей памяти служебные данные. Например, в Xiaomi Browser, — там удалось подменить само приложение на вредоносную копию, а все из-за того, что браузер хранит во внешней памяти временные файлы.

Еще один секьюрити-армагеддон, связанный с Android, ожидается благодаря разработчику онлайновой игры Fortnite. Во-первых, версия для Android до сих пор в разработке, хотя для iOS игра доступна. Это уже привело к появлению множества веб-страниц и видеороликов, где рассказывается, как скачать и установить игру на Android-смартфон, — естественно, с каким-нибудь трояном и кражей данных в конце. Во-вторых, компания Epic Games решила не выкладывать игру в магазин приложений Google Play, чтобы не платить Гуглу ощутимый процент от всех покупок пользователей. В результате даже тех, кто добросовестно ищет приложения только в официальном аппсторе, будут мотивировать поискать где-то еще, и хорошо, если они сразу пойдут на сайт разработчика. А если нет? Впрочем, это будет довольно легко отследить по количеству детектов вредоносных программ. По данным «Лаборатории» за первые три месяца этого года защитным ПО на Android было заблокировано 1 322 578 вредоносных приложений. Кстати, это меньше, чем в предыдущем квартале. Продолжаем наблюдение.

Дорогая редакция вообще рекомендует относиться к любым мнениям со здоровым скептицизмом. Disclaimer: Мнения, изложенные в этом дайджесте, могут не всегда совпадать с официальной позицией «Лаборатории Касперского».


Оставить комментарий

Ваш email нигде не будет показан
Обязательные для заполнения поля помечены *

*

x

Ещё Hi-Tech Интересное!

В Германии разработали требования к домашним маршрутизаторам

Продолжительное время в Интернете регулярно появляются статьи об уязвимости маршрутизаторов для SOHO сегмента. Я тоже публиковал статью как обнаружить, что Ваш Микротик взломан. Резкий рост участников нашего канала в Телеграм (@router_os) показал, что проблема крайне остра. Но проблема стоит глобальней. ...

[Перевод] Архитектуры нейросетей

Перевод Neural Network Architectures Давайте рассмотрим историю их развития за последние несколько лет. Алгоритмы глубоких нейросетей сегодня обрели большую популярность, которая во многом обеспечивается продуманностью архитектур. Если вас интересует более глубокий анализ, обратитесь к этой работе. Подробнее здесь. Сравнение популярных ...