Perusteellisen 'fake id' -virheen ansiosta haittaohjelmat pääsevät villiin

Yksi parhaimmista asioista mobiili käyttöjärjestelmissä on hiekkalaatikko. Tämä tekniikka lokeroi sovellukset ja estää vaarallisia sovelluksia (tai mitään sovelluksia) saamasta ilmaista hallintaa Android-laitteesi yli. Uusi haavoittuvuus saattaa kuitenkin tarkoittaa, että Androidin hiekkalaatikko ei ole niin vahva kuin luulimme.

Mikä se on?

Jeff Forristal esitti Black Hat -tapahtumassa, kuinka puutteellisesti Androidin käyttämissä varmenteissa voitaisiin käyttää pakenemaan hiekkalaatikko. Sitä voidaan jopa käyttää antamaan haittaohjelmille korkeammat etuoikeustasot, kaikki antamatta uhreille aavistustakaan heidän puhelimessa tapahtuvasta. Forristal kertoi, että tätä haavoittuvuutta voidaan käyttää tietojen, salasanojen varastamiseen ja jopa useiden sovellusten hallitsemiseen kokonaan.

Julkaisun ytimessä ovat sertifikaatit, jotka ovat pohjimmiltaan vähän salausasiakirjoja, joiden tarkoituksena on varmistaa, että sovellus on mitä se väittää olevansa. Forristal selitti, että se on täsmälleen sama tekniikka, jota verkkosivustot käyttävät aitouden varmistamiseksi. Mutta Android osoittautuu, ettei se tutkitse varmenteiden välisiä salaussuhteita. Tämä virhe, Forristalin mukaan, on "melko perustavanlaatuinen Android-turvajärjestelmälle".

Käytännöllinen tulos on, että voit luoda haittaohjelman, käyttää vääriä varmenteita ja Androidin osalta sovellus on legitiimi. Tämä taustalla oleva ongelma, joka Forristal kutsuu Fake ID: tä, tuo lukuisia haavoittuvuuksia ja hyödyntää Androidia. Mielenosoituksensa aikana Forristal käytti aivan uutta puhelinta, joka oli ostettu kuusi päivää aiemmin.

Mitä se tekee

Mielenosoituksessaan Forristal käytti vääriä Google Services -päivityksiä, jotka sisälsivät haitallista koodia käyttämällä yhtä Fake ID -haavoittuvuuksista. Sovellus toimitettiin yhdessä sosiaalisen suunnittelun sähköpostin kanssa, jossa hyökkääjä ilmoittaa osana uhrin IT-osastoa. Kun uhri menee asentamaan sovellus, hän näkee, että sovellus ei vaadi lupia ja näyttää lailliselta. Android suorittaa asennuksen, ja kaikki näyttää olevan kunnossa.

Mutta taustalla Forristalin sovellus on käyttänyt väärennettyä haavoittuvuutta automaattisen ja välittömän injektoinnin vahingollista koodia muihin laitteen sovelluksiin. Erityisesti Adobe-sertifikaatti Flashin päivittämiseksi, jonka tiedot koodattiin Androidiksi. Muutamassa sekunnissa hänellä oli hallussaan viisi laitteen sovellusta - joista joillakin oli syvä pääsy uhrin laitteeseen.

Tämä ei ole ensimmäinen kerta, kun Forristal on sekoittanut Androidin. Vuonna 2013 Forristal hätkähti Android-yhteisöä, kun hän esitteli ns. Master Key exploit -sovelluksen. Tämä laajalle levinnyt haavoittuvuus tarkoitti, että vääriä sovelluksia voidaan naamioida laillisiksi, mikä mahdollisesti antaa haitallisille sovelluksille ilmaisen pääsyn.

Tarkista henkilöllisyystodistus

Forristalin esitys ei antanut meille vain avauttavia uutisia Androidista, vaan antoi meille myös työkalun meidän suojaamiseksi. Forristal julkaisi ilmaisen tarkistustyökalun tämän haavoittuvuuden havaitsemiseksi. Tämä tarkoittaa tietysti silti, että ihmisten on estettävä haittaohjelmien pääsy puhelimiinsa.

Virheestä on ilmoitettu myös Googlelle, ja korjaustiedostoja ilmeisesti ilmestyy eri tasoilla.

Vielä tärkeämpää on, että koko hyökkäys riippuu uhrin asentamasta sovelluksesta. Totta, sillä ei ole punaista lippua, joka pyytää paljon lupia, mutta Forristal sanoi, että jos käyttäjät välttävät sovelluksia "varjoisilta paikoilta" (lue: Google Playn ulkopuolella), he ovat turvassa. Ainakin toistaiseksi.