Все гаразд! Останній переляк шкідливого програмного забезпечення Android, ймовірно, не торкнеться вас

Що, якби хакери могли взяти існуючий законний додаток або оновлення з дійсним цифровим підписом і модифікувати його, щоб використовувати в якості шкідливого трояна для доступу до всього, що знаходиться на вашому телефоні або планшеті Android? Коли дослідники зі стартапу мобільної безпеки під назвою Bluebox Security виявили, що вони ідентифікували саме таку вразливість, яка впливає на “99 відсотків” пристроїв Android, це зробило технологічні заголовки по всьому Інтернету. Але чи варто хвилюватися?

У чому полягає проблема?

“Ця вразливість, що існує принаймні з моменту виходу Android 1.6 (кодова назва: “Donut”), може вплинути на будь-який телефон Android, випущений за останні 4 роки”, – пояснив Джефф Форрістал (Jeff Forristal), технічний директор Bluebox, у своєму повідомленні в блозі компанії. Він також зазначив, що “…хакер може використати цю вразливість для чого завгодно – від крадіжки даних до створення мобільного ботнету”.

Файли APK, або пакети додатків для Android, знаходяться в зоні ризику, оскільки цей недолік дозволяє хакерам змінювати легітимний додаток або оновлення, але зберігати цифровий підпис, який підтверджує його безпеку. Вони можуть створити фальшивий додаток для крадіжки ваших паролів і використовувати законний цифровий підпис, щоб ваш телефон Android думав, що він створений такою компанією, як Samsung, HTC або навіть сама Google. Оскільки виробники пристроїв та довірені партнери створюють додатки з привілейованим доступом до системи Android, ризик того, що щось шкідливе потрапить на ваш телефон, є дуже серйозним.

• Google Pixel 7: як зробити скріншот і записати свій екран
• У 2023 році Apple потрібно виправити свій ганебний ліміт в 5 ГБ в iCloud
• Що таке Amazon Music: все, що потрібно знати

Що з цим робиться?

Компанія Bluebox повідомила Google про баг безпеки Android 8219321 ще в лютому 2013 року. Google вже оновив Play Store таким чином, що з’явилися перевірки для блокування будь-яких шкідливих додатків, що використовують цей експлойт. Google поділилася цією помилкою зі своїми партнерами по виробництву обладнання в Open Handset Alliance, і деякі виробники вже випустили патчі для усунення цієї проблеми безпеки.

Як уникнути шкідливого програмного забезпечення?

If you are careful never to leave your phone unattended and you only install apps and updates from Google Play then there’s no real cause for concern because you’re not really at risk from this exploit. If you want to make sure you’re not affected, go into Settings > Перевірте безпеку і переконайтеся, що прапорець “Дозволити установку з невідомих джерел” знято.

Ми вже обговорювали основи безпеки додатків для Android раніше, і вони все ще актуальні. Злочинці більше не можуть використовувати Google Play Store для розповсюдження шкідливого програмного забезпечення, що використовує цей експлойт, тому завантажувати додатки з нього безпечно. Чого слід уникати, так це встановлення додатків або оновлень з інших джерел – навіть з магазинів додатків Samsung або Amazon – принаймні, поки що. Сторонні магазини додатків для Android та прямі посилання на веб-сайтах є найбільш вірогідними способами доставки, але шкідливе програмне забезпечення може надходити електронною поштою або навіть потрапляти на ваш пристрій через USB-кабель (якщо ви підключаєте телефон до комп’ютера).

“Основна проблема поширення шкідливого програмного забезпечення на Android полягає в тому, щоб змусити користувача завантажити і встановити щось з незахищених джерел (певних сторонніх ринків або безпосередньо з Інтернету), – пояснив нам Майк Моргенштерн з незалежного інституту безпеки AV-Test. “Виявлена вразливість жодним чином не “допомагає” авторам шкідливого програмного забезпечення. Їм все одно буде складно розмістити свої творіння в Google Play Store, і навіть якщо їм це вдасться, їх програми, звичайно ж, не будуть перераховані під обліковим записом оригінального автора. [Наприклад, якщо вони створять троянізовану версію Angry Birds, вона буде вказана під ім’ям автора шкідливого програмного забезпечення, а не під ім’ям Rovio. Тому користувачі навряд чи спіткнуться об ці троянські програми. Якщо користувачі завантажуватимуть додатки лише з Google Play Store, вони будуть у безпеці”.

Отже, я можу розслабитися?

Проблема з Android полягає в тому, що Google може вжити заходів для виправлення недоліків та хакерських експлойтів, але не може випустити загальносистемне оновлення.

“Основна проблема полягає в політиці оновлення багатьох виробників”, – сказав нам Моргенштерн. “Старі пристрої більше не отримують оновлень (тому ці пристрої залишаються вразливими), і навіть оновлення для нових пристроїв може зайняти місяці”.

Окремі виробники та мобільні оператори (AT&T, Verizon, T-Mobile, Sprint тощо) самостійно встановлюють оновлення для своїх пристроїв. Зазвичай старі пристрої Android залишаються позаду. Якщо у вас застарілий пристрій, який знаходиться в зоні ризику, і ви не бажаєте використовувати Google Play, ви можете залишитися під загрозою ще деякий час.

Оновлення 7-9-2013: Поради від Bluebox

Після публікації цієї статті з нами зв’язалася компанія Bluebox. Вони закликають користувачів, що найкращий спосіб зменшити ризик цієї вразливості – це “звернутися до виробника пристрою або оператора мобільного зв’язку щодо вашої конкретної моделі пристрою Android та версії ОС, щоб дізнатися, чи було доступне нещодавнє оновлення/виправлення”. Вони також вказують на те, що вам може знадобитися перевірити примітки до релізу для підтвердження того, що виправлення включено в оновлення. Якщо ви не можете знайти його для свого пристрою, вони рекомендують поки що уникати встановлення будь-чого за межами Google Play.

Технічний директор Bluebox Джефф Форрістал (Jeff Forristal) планує випустити технічні деталі цього питання під час свого виступу на конференції Black Hat USA 2013 в кінці місяця. Поки що невідомо, як відреагують основні виробники пристроїв на базі Android. Ми будемо тримати вас в курсі подій.

Стаття в оригіналі опублікована 7-8-2013.

Рекомендації редакції

• Як легко створювати та обмінюватися фотоальбомами на iPhone
• Щойно придбали новий iPhone? Ось 12 порад та підказок, які допоможуть його освоїти
• Snapchat Wrapped 2022: як побачити свій рік в оглядовій історії
• Як відправити текстове повідомлення зі свого облікового запису електронної пошти
• Ця прихована функція iOS 16 перетворила мій iPhone в ідеальний гаджет для пошуку музики

Source: digitaltrends.com