Google zatwierdza aplikację, która kradnie wszystkie Twoje dane

Zautomatyzowany Bouncer Google dla aplikacji, który powinien zapobiegać pojawianiu się szkodliwego oprogramowania mobilnego w sklepie z aplikacjami firmy, wydaje się mieć poważne martwe punkty. System wielokrotnie skanował, ale przepuszczał aplikację, która potajemnie kradnie dane osobowe, takie jak zdjęcia i kontakty, poinformowało dwóch badaczy z firmy zajmującej się bezpieczeństwem komputerowym Trustwave z Czarny kapelusz konferencja bezpieczeństwa w Las Vegas wczoraj.

Nicolas Percoco i Sean Schulte są członkami grupy badawczej Trustwave zajmującej się etycznym hakowaniem, znanej jako SpiderLabs , i stworzyli aplikację, aby zbadać zdolność Google do weryfikacji oprogramowania przesłanego do sklepu z aplikacjami. Para stwierdziła, że ​​wyniki pokazują, że Google musi ulepszyć zarówno system skanowania aplikacji, jak i system operacyjny Android.

Ponieważ coraz więcej osób wymienia komputery stacjonarne i laptopy na smartfony i tablety, bezpieczeństwo mobilne staje się coraz ważniejsze. Wielu użytkowników zachowuje się również tak, jakby wszystko, co pobierają ze sklepu z aplikacjami, było bezpieczne.

Ten wyczyn jest dla Google zawstydzający, co ogłosił istnienie bramkarza system bezpieczeństwa, który skanuje aplikacje w firmowym sklepie z aplikacjami w lutym tego roku, mówiąc w tym czasie, że był z powodzeniem używany od końca 2011 roku (patrz Ataki na Androida Intensify). W czerwcu tego roku dwóch badaczy z innej firmy ochroniarskiej Duo Security, zaatakował samego bramkarza , podając szczegóły, jak to działa.

Percoco i Schulte byli bardziej zainteresowani pokazaniem, jak przestępcy mający nadzieję na zarabianie pieniędzy na złych aplikacjach mogą ominąć system Bouncer. Przesłali nieszkodliwą aplikację do sklepu z aplikacjami Google, a następnie stopniowo ją aktualizowali, aby była jeszcze bardziej paskudna i paskudna, aby zobaczyć, jak daleko mogą się posunąć, zanim Bouncer zacznie działać.

Oryginalna aplikacja o nazwie SMS Bloxor po prostu blokowała wiadomości tekstowe z określonych numerów. Blokowanie SMS-ów zostało wybrane, ponieważ naukowcy chcieli zniechęcić użytkowników do pobierania aplikacji. Inne aplikacje – z których wiele jest darmowych – już oferują tę samą funkcjonalność, a SMS Bloxor został wyceniony na 49,95 USD. Nie chcieliśmy, aby 5000 użytkowników pobierało naszą złośliwą aplikację, powiedział Percoco. Jestem jedyną osobą, która to kupiła.

Pierwsza wersja miała wbudowaną prostą funkcję telefonu domowego, aby badacze wiedzieli, czy Bouncer przetestował aplikację. Google nie ujawnił szczegółów technicznych Bouncera, ale powiedział, że testuje aplikacje, skanując ich kod i uruchamiając je w symulowanym telefonie, aby zobaczyć, co robią. Wiąże się to z przyznaniem aplikacji dostępu do Internetu, więc gdy SMS Bloxor zadzwonił do domu kilka minut po przesłaniu do sklepu Google Play, było jasne, że Bouncer go zeskanował. Aplikacja pojawiła się następnie w sklepie z aplikacjami Google Play i była gotowa do pobrania przez każdego.

Następnie badacze przedstawili siedem zaktualizowanych wersji, z których każda zawierała więcej złośliwych funkcji. Pierwszy był w stanie potajemnie wysłać kontakty danej osoby do twórców aplikacji. Następujące wersje mogą kraść wiadomości tekstowe, kopiować informacje identyfikujące telefon, kraść zdjęcia, kraść rejestry połączeń, przejmować kontrolę nad ekranem i wreszcie atakować adres internetowy, zalewając go żądaniami danych, co jest taktyką, która może zlikwidować witryny, jeśli wiele zainfekowanych komputery współpracują ze sobą, co jest znane jako atak typu rozproszona odmowa usługi (DDoS).

Spodziewaliśmy się, że jeden z tych kroków, taki jak spoof screen lub DDoS, spowoduje, że zostaniemy złapani. I tak się nie stało, powiedział Schulte. Bouncer zeskanował i uruchomił zaktualizowane wersje aplikacji, ale zawsze pozwalał jej przejść. Było tak prawdopodobnie dlatego, że Bouncer nigdy nie widział aplikacji w najgorszym wydaniu. Chociaż przeskanowane wersje zawierały cały kod potrzebny do robienia złych rzeczy, badacze czekali, aż prześlizgną się przez Bouncera, aby wysłać aplikacji ostateczne instrukcje potrzebne do włączenia złośliwej aktywności.

SMS Bloxor został ostatecznie wycofany ze sklepu po tym, jak badacze przesłali wersję, która bez przerwy wysyłała wszystkie dane z urządzenia z powrotem do twórców aplikacji. Zautomatyzowany e-mail poinformował Percoco, że jego konto programisty zostało zawieszone, a eksperyment został zakończony. Żadne ostrzeżenie nie zostało wysłane do jedynej osoby, która zapłaciła i pobrała aplikację – do samego Percoco.

Para poinformowała Google o eksperymencie przed swoją prezentacją wczoraj po południu i zaraz potem spotkała się z przedstawicielami firmy, aby omówić swoje odkrycia.

Percoco zasugerował, że Google może rozszerzyć zasięg Bouncera i uczynić go funkcją każdego telefonu z Androidem, gdzie mógłby sprawdzać zachowanie aplikacji po jej zainstalowaniu. Percoco powiedział również, że Google powinno ponownie rozważyć funkcję, która pozwala na ciche wysyłanie nowego kodu do aplikacji po ich przesłaniu do Google Play.

Google i inni dostawcy sklepów z aplikacjami najpierw projektowali takie sklepy z myślą o modelu biznesowym, a nie o bezpieczeństwie, ponieważ konkurencja w celu wykorzystania boomu na urządzenia mobilne nasiliła się. Jednak duża liczba urządzeń znajdujących się obecnie w obiegu i ich intymna rola w życiu ludzi przekonały wielu ekspertów ds. bezpieczeństwa, że ​​sklepy z aplikacjami będą wkrótce przedmiotem poważnych działań przestępczych. Google poinformował w zeszłym miesiącu, że ponad 400 milionów urządzeń z Androidem zostało aktywowanych od czasu ich pierwszego udostępnienia w 2008 r. (patrz Android Has Arrived ) i że każdego dnia aktywuje się kolejny milion.

Percoco powiedział, że Google i inni mieli do tej pory szczęście i wciąż mają czas, aby wyprzedzić nadchodzącą falę. Na razie większość przykładów mobilnego szkodliwego oprogramowania to ukierunkowane ataki na osoby, takie jak dyrektorzy generalni, którzy mogą mieć dostęp do cennych danych korporacyjnych. Za rogiem nadejdzie bardziej powszechna katastrofa, która może dotknąć dziesiątki tysięcy lub miliony użytkowników.

ukryć