Lỗ hổng 'id id' cơ bản cho phép phần mềm độc hại chạy tự nhiên

Một trong những điều tốt nhất về hệ điều hành di động là hộp cát. Kỹ thuật này ngăn chặn các ứng dụng, ngăn các ứng dụng rủi ro (hoặc bất kỳ ứng dụng nào) có quyền tự do trên Android của bạn. Nhưng một lỗ hổng mới có thể có nghĩa là hộp cát của Android không mạnh như chúng ta nghĩ.

Nó là gì?

Tại Black Hat, Jeff Forristal đã trình diễn cách lỗ hổng trong cách Android xử lý các chứng chỉ có thể được sử dụng để thoát khỏi hộp cát. Nó thậm chí có thể được sử dụng để cung cấp cho các ứng dụng độc hại mức độ đặc quyền cao hơn, mà không cho nạn nhân biết manh mối về những gì đang diễn ra trong điện thoại của họ. Forristal nói rằng lỗ hổng này có thể được sử dụng để đánh cắp dữ liệu, mật khẩu và thậm chí kiểm soát hoàn toàn nhiều ứng dụng.

Cốt lõi của vấn đề là các chứng chỉ, về cơ bản là các tài liệu mật mã nhỏ nhằm đảm bảo rằng một ứng dụng là những gì nó tuyên bố. Forristal giải thích rằng đó là công nghệ chính xác được sử dụng bởi các trang web để đảm bảo tính xác thực. Nhưng Android, hóa ra, không kiểm tra mối quan hệ mật mã giữa các chứng chỉ. Lỗ hổng này, theo Forristal, là "khá cơ bản cho hệ thống bảo mật Android."

Kết quả thực tế là bạn có thể tạo một ứng dụng độc hại, sử dụng chứng chỉ không có thật và theo như Android có liên quan thì ứng dụng này là hợp pháp. Vấn đề tiềm ẩn này, mà Forristal gọi là Fake ID, giới thiệu nhiều lỗ hổng và khai thác vào Android. Trong cuộc biểu tình của mình, Forristal đã sử dụng một chiếc điện thoại hoàn toàn mới được cấp phép sáu ngày trước đó.

Những gì nó làm

Trong phần trình diễn của mình, Forristal đã sử dụng bản cập nhật Google Services giả mạo chứa mã độc bằng một trong các lỗ hổng Fake ID. Ứng dụng được gửi cùng với một email kỹ thuật xã hội nơi kẻ tấn công đóng vai trò là một phần của bộ phận CNTT của nạn nhân. Khi nạn nhân đi cài đặt ứng dụng, anh ta thấy rằng ứng dụng không yêu cầu bất kỳ quyền nào và có vẻ hợp pháp. Android tiến hành cài đặt và mọi thứ dường như đều ổn.

Nhưng trong nền tảng, ứng dụng của Forristal đã sử dụng lỗ hổng Fake ID để tự động và ngay lập tức tiêm mã độc vào các ứng dụng khác trên thiết bị. Cụ thể, chứng chỉ Adobe để cập nhật Flash có thông tin được mã hóa cứng vào Android. Trong vài giây, anh ta đã kiểm soát năm ứng dụng trên thiết bị - một số ứng dụng có quyền truy cập sâu vào thiết bị của nạn nhân.

Đây không phải là lần đầu tiên Forristal gặp rắc rối với Android. Quay trở lại năm 2013, Forristal đã khiến cộng đồng Android giật mình khi anh tiết lộ cái gọi là khai thác Master Key. Lỗ hổng lan rộng này có nghĩa là các ứng dụng giả mạo có thể được ngụy trang thành hợp pháp, có khả năng cho các ứng dụng độc hại vượt qua miễn phí.

Kiểm tra ID

Sự tiên đoán của Forristal không chỉ mang đến cho chúng ta những tin tức mới về Android, nó còn cho chúng ta một công cụ để bảo vệ chúng ta. Forristal đã phát hành một công cụ quét miễn phí để phát hiện lỗ hổng này. Tất nhiên, điều đó vẫn có nghĩa là mọi người sẽ phải ngăn phần mềm độc hại xâm nhập vào điện thoại của họ.

Lỗi này cũng đã được báo cáo cho Google và các bản vá dường như xuất hiện ở các cấp độ khác nhau.

Quan trọng hơn, toàn bộ bản lề tấn công vào nạn nhân cài đặt ứng dụng. Đúng, nó không có cờ đỏ yêu cầu nhiều quyền, nhưng Forristal nói rằng nếu người dùng tránh các ứng dụng từ "những nơi mờ ám" (đọc: bên ngoài Google Play) thì họ sẽ an toàn. Ít nhất, bây giờ