ההבטחה לאנדרואיד מרופד מתקיימת

בחודש שעבר בחברת הכובע השחור, בדקנו באופן מוזר מתחת ללוח הרדאר לגבי ניצול אנדרואיד דרמטי ומסוכן, פוטנציאלי. הדו"ח שלנו הסביר כיצד יוצרים של תוכנות זדוניות באנדרואיד יכולים להשיג גישה ושליטה מוחלטת בטלפון שלך על ידי תכנון אפליקציות שניצלו תוספים סתרים וחזקים שנאפו למערכת ההפעלה על ידי היצרנים. באותה תקופה זה היה יותר רעיון מפחיד מאשר מציאות מפחידה. אולם כעת, לפי Ars Technica, לפחות אפליקציה אחת בחנות Google Play הבטוחה בדרך כלל משתמשת בניצול זה כדי לעקוף את הרשאות המשתמשים וסריקות האבטחה של גוגל.

שער Certifi

במהלך הפאנל שלהם, אוהד בוברוב ואבי בשן, החוקרים בחברת האבטחה צ'ק פוינט שגילו במקור את הפגם, יצרו אפליקציית פנס שתמחיש את ממצאיהם. האפליקציה השתמשה בהרשאות שמורות בדרך כלל ליישומי תמיכה כמו TeamViewer בכדי ללכוד את מסך המכשיר ולדמות קלט של משתמשים. הם יצרו Trojan לגישה מרחוק לנייד בבגדים של כלי תמיכה מרחוק לנייד.

למרבה הצער, מה שהיה פעם הדגמה שהזהיר אותנו מהדברים הבאים הוא עכשיו האיום האמיתי האחרון בטלפון אנדרואיד שלך. אפליקציית Android Activable Recordable השתמשה בשיטות שאותן תיארו בוברוב ובשן כדי להשיג כמות מעוררת גישה לטלפון שלך. המטרה המוצהרת של האפליקציה הייתה להקליט את המסך שלך בקלות ללא גישה לשורש. שום דבר מוצל בזה!

בוברוב ובשן עשו יותר מההצגה שלהם מאשר פשוט להפחיד את המשתתפים שכבר היו פרנואידי כובע שחור. הם גם סיפקו קישור לאפליקציית שער הצ'יפ פוינט צ'ק פוינט הסורק את הטלפון שלך ומודיע לך אם נעשה שימוש לרעה בתוסף הפגיע. באפליקציה יש כבר 100, 000 משתמשים, וצ'ק פוינט ניתח נתונים של 30, 000 משתמשים כדי לאתר את הסיכון הנשקף על ידי Activator Activator.

אפליקציות כאלה נחוצות מכיוון שמשתמשים לא באמת יכולים לתקן את הבעיה בסופו של דבר. ביטול אישור ה- OEM שמאפשר את הניצול עשוי גם לבסס את הטלפון. גוגל מודעת לנושא ודחפה את התיקונים. בנוסף לאנדרואיד 6.0 Marshmallow הקרוב יופיע מערכת הרשאות מחודשת. עם זאת, פיצול ההידרה של אנדרואיד מקשה לדעת על כמה מכשירים עדיין יש פוטנציאל להיות מושלם. אז נכון לעכשיו, הטוב ביותר של המשתמשים הוא לחפש יישומים בטוחים לכאורה המנצלים את הפגיעות ומסירים אותם לפני שיהיה מאוחר מדי.

להישאר בטוח

החדשות הטובות הן שהאפליקציה הפוגעת הוסרה במהירות מחנות Google Play לאחר שצ'ק פוינט קרא אותה כסיכון ביטחוני. עם זאת, ככל הנראה Recordable Activator הוא רק הראשון מבין אפליקציות רבות המנצלות את הניצול המסוכן הזה. וייתכן שלא נוכל לתפוס את כולם.

למרות הטון הפטליסטי בכותרת המאמר המקורי שלנו, ישנם כמה דברים שאתה יכול לעשות כדי למנוע מהטלפון שלך להידפק. אתה יכול להשתמש באפליקציות אבטחה לנייד של צ'ק פוינט וחברות אחרות כדי להימנע מאפליקציות מסוכנות. ואם תוכלו להרשות זאת לעצמכם, תוכלו להזמין טלפון אנדרואיד חדש ומלאי יותר כמו Nexus 6 שמקבל עדכוני אבטחה באופן קבוע יותר. אבל כמו שאמרנו קודם, עבור יותר מדי בעלי אנדרואיד, אנדרואיד שלך מחובר, ואין שום דבר שאתה יכול לעשות בקשר לזה.