Mũ đen: nhiều lỗ hổng khóa chính ảnh hưởng đến android

Tất cả bắt đầu như một trò chơi khăm, giải thích Jeff Forristal của Bluebox Security. Nhóm Bluebox muốn tạo một phiên bản hack của ứng dụng FourSapes sẽ khiến nó trông giống như bạn ở một nơi nào đó kỳ lạ, như Nam Cực. Than ôi, Google Maps đã từ chối các yêu cầu từ ứng dụng được điều chỉnh. Theo đuổi các vấn đề xung quanh vấn đề đó đã dẫn dắt nhóm đến điểm yếu mà họ gọi là "Master Key". "Chủ đề này đã được đề cập, " Forristall nói. "Nó bị rò rỉ. Nó đã được phát hành trong vài tuần. Nhưng thực tế có nhiều hơn một khóa chính, vì vậy cuộc nói chuyện này đã tăng từ một lỗi lên bốn."

Forristal giải thích rằng bằng cách phân tách, sửa đổi và gắn lại ứng dụng, họ đã thay đổi chữ ký của nhà phát triển. Chữ ký mới không được cấp phép sử dụng Google Maps, vì vậy nó đã bị từ chối. Nhiệm vụ mới của họ; thay đổi mã mà không thay đổi chữ ký.

Forristal đã xem qua một loạt các sự kiện chi tiết xảy ra khi Android xác minh một ứng dụng đã ký. Mỗi lớp xác minh lớp trước, bắt đầu bằng việc xác minh rằng các mô hình mã chưa bị giả mạo và kết thúc bằng một chữ ký số của toàn bộ gói. Anh ta cố gắng tấn công hệ thống ở mọi giai đoạn, chủ yếu là không gặp may.

"Các định dạng APK, JAR và ZIP về cơ bản là giống nhau, " Forristal lưu ý. "JAR và APK chỉ có các thành phần bổ sung." Thành công cuối cùng của ông liên quan đến việc tận dụng định dạng ZIP. Khi anh ta chèn một tệp "ác" có cùng tên với một tệp hợp lệ hiện có, trình xác minh đã ký tắt trên tệp hợp lệ, nhưng tệp "ác" đã được khởi chạy.

Tại sao? Bởi vì Android sử dụng mã quản lý tệp ZIP khác nhau trong trình xác minh và trong trình cài đặt thực tế. "Một sự khác biệt của phân tích tệp ZIP là nguồn gốc của lỗi này, " Forristal giải thích. "Trên thực tế, có tám triển khai phân tích tệp ZIP riêng biệt trong cơ sở mã Android."

Ra khỏi hộp cát

"Tôi đã sử dụng thủ thuật này cho tốt, " Forristal nói. "Bây giờ hãy đưa nó đến tuyệt vời." Giống như iOS, Android chạy từng ứng dụng trong hộp cát riêng, vì vậy một ứng dụng không thể truy cập tài nguyên thuộc về ứng dụng khác. "Cách duy nhất vào hộp cát là được ký bởi cùng một nhà phát triển, " anh giải thích. "Đó là những gì làm cho cập nhật có thể."

"Toàn bộ hệ thống, đăng ký vào cùng một khái niệm, " anh tiếp tục. "Hộp cát hệ thống thực thi tất cả các hộp cát khác. Nó kiểm soát tất cả các cài đặt của bạn. Nó không phải là root, nhưng nó có tất cả dữ liệu, ứng dụng, mật khẩu và cài đặt của bạn, còn lại gì? Hệ thống khá mạnh mẽ." Các ứng dụng truy cập vào hộp cát hệ thống thường được ký bởi nhà sản xuất nền tảng. "Tôi chỉ cần có được một ứng dụng được ký nền tảng và thực hiện thủ thuật nhỏ của mình, và tôi nên có quyền truy cập ở cấp hệ thống. Điều đó tuyệt vời hơn so với bản đồ FourSapes", ông kết luận.

Nó chỉ ra rằng VPN của bên thứ ba cần phải được ký nền tảng và như một phần thưởng mà họ đã yêu cầu quyền truy cập vào hộp cát hệ thống. Forristal hiển thị ba lệnh đơn giản mà anh ta đã sử dụng để chèn mã "ác" của mình vào VPN của bên thứ ba, nói đùa về "công cụ hack über". Kết quả? Một Trojan với quyền truy cập cấp hệ thống đầy đủ.

Khai thác dễ dàng

Chuyên gia công nghệ bảo mật Saurik (Jay Freeman) đã đưa khái niệm này lên một tầm cao mới, Forristal giải thích. Công cụ Cydia Impactor của anh chạy trên OSX và Windows và tự động khai thác. "Kết nối một thiết bị, " Forristal nói, "nó tìm ra ứng dụng phù hợp, xây dựng nó, thêm hack thích hợp để có quyền truy cập root và cung cấp nó. Tôi sẽ phát hành một số bằng chứng nhỏ về các ứng dụng khái niệm, nhưng điều này thật tuyệt vời. "

Forristal lưu ý rằng loại bộ xử lý của thiết bị không thành vấn đề. Cuộc tấn công không bị ảnh hưởng bởi ASLR (Ngẫu nhiên bố trí hệ thống địa chỉ) hoặc DEP (Ngăn chặn thực thi dữ liệu). Ông đã tạo ra một phiên bản hoạt động trên bốn thế hệ Android và kỹ năng thực sự duy nhất cần có là kiến ​​thức về Java. "Tôi đã gửi cái này cho Black Hat vì nó dễ hiểu và khai thác", Forristal nói.

Thêm khóa chủ

Forristal đã chạy xuống một số lỗi khác được phát hiện gần đây có thể được coi là "khóa chính". Khi xem qua mã cho một tính năng có tên Thuộc tính xác thực, các nhà nghiên cứu của Bluebox đã tìm thấy một dòng nhận xét và đánh dấu "TODO". Do mã bị thiếu, bất kể thay đổi nào bạn thực hiện tệp đều vượt qua xác minh. Không có nhiều tập tin sử dụng tính năng này, Forristal lưu ý. "Nếu bạn tìm thấy một, bạn có thể sao chép và dán tệp chứng chỉ và giả sử danh tính của nhà phát triển. Nếu bạn đã ký một ứng dụng với Thuộc tính xác thực, bạn đã cho đi danh tính của mình." Vì lỗi này đã được sửa trước khi Bluebox báo cáo, họ không lấy tín dụng.

Cuộc tấn công "Trojan ẩn" được báo cáo bởi một nhà nghiên cứu Trung Quốc hóa ra chỉ là một trong nhiều cách có thể để khai thác nhiều trình phân tích tệp ZIP của Android. Các cuộc tấn công này lợi dụng thực tế là một người dùng trình phân tích cú pháp đã ký các số nguyên và người còn lại sử dụng các số nguyên không dấu.

"Thậm chí không phải là về việc thay thế một tập tin", Forristal say mê. "Bạn có thể sử dụng thủ thuật này để cung cấp một tệp ZIP hoàn toàn khác. Một lần được xác minh, lần chạy khác. Một vài thủ thuật và mẩu tin trong không gian này có thể còn thể hiện sức mạnh hơn nữa đối với phương pháp này."

Mặc dù phần mềm độc hại sử dụng kỹ thuật này đã được nhìn thấy trong tự nhiên, nhưng không thể có được một tệp Trojan hóa như những gì được mô tả ở đây vào Google Play. Bạn có thể sẽ an toàn nếu bạn luôn luôn và chỉ cài đặt các ứng dụng đã qua sự kiểm tra chính thức. Tuy nhiên, để an toàn, hãy đảm bảo cài đặt mọi bản cập nhật Android có sẵn ngay lập tức.