Уязвимость затрагивает около 900 млн смартфонов и планшетов на базе Android или около 99% от их общего числа, так как содержится во всех версиях начиная с Android 1.6, выпущенной 4 года назад. Специалисты стартапа Bluebox обнаружили в модели безопасности Android уязвимость, которая позволяет хакеру модифицировать код APK-файла (установочного файла) и превратить в троян любое подлинное приложение, причем это изменение не смогут заметить ни пользователь, ни администраторы каталога, куда это приложение будет загружено, ни само мобильное устройство. Все Android-приложения содержат криптографические подписи, которые позволяют системе определить подлинность устанавливаемого приложения. Однако данная проверка в различных приложениях выполняется по-разному. Это и лежит в основе уязвимости. Используя ее, хакер может модифицировать приложение без нарушения криптографической подписи. В зависимости от типа приложения, хакер может использовать уязвимость для любых целей - от кражи данных до создания мобильного ботнета и проникновения в корпоративную систему предприятия. Более того, хакер может модифицировать приложение, устанавливаемое производителем мобильного устройства, например Samsung или HTC, которое имеет специальные привилегии для работы с системными процессами. Используя эту возможность, злоумышленник может получить полный доступ к системе Android, всем приложениям, учетным записям пользователя, паролям и получить возможность управления любой функцией, включая телефонные звонки, сообщения и камеру. Уязвимость содержится во всех версиях Android начиная с Android 1.6 под кодовым именем Donut, которая была выпущена 4 года назад, и, таким образом, затрагивает около 900 млн устройств, проданных к текущему дню. Так как масштаб уязвимости оказался слишком широк, эксперты Bluebox лишь сейчас решили проинформировать общественность, тогда как Google получила сведения об уязвимости еще в феврале 2013 г. О реакции Google на данные сведения не известно. Владельцам Android-смартфонов и планшетов рекомендуется внимательнее относиться к названию разработчика приложения, которое они планируют установить, а компаниям и организациям, использующими модель «принеси свое собственное устройство» (Bring Your Own Device - BYOD), - регулярно обновлять Android до последней версии, а также внедрять более совершенные механизмы защиты данных. Ранее уязвимости встречались в Android неоднократно, однако никогда они не имели столь большой масштаб, затрагивающий около 99% устройств, находящихся в эксплуатации. По данным Juniper Networks, пользователи могли бы обезопасить себя более чем от половины вредоносных приложений, если бы использовали последнюю версию Android.
Источник