Pass på fare som lurer i Android-telefonoppdateringer

Forskere fra Indiana University og Microsoft Research har funnet at oppdatering av programvare for å fjerne sårbarheter ikke alltid er slik det ser ut, spesielt når det gjelder Android-operativsystemet. Denne artikkelen som skal presenteres av forskerteamet ved Institute of Electrical and Electronics Engineers 'Security and Privacy Symposium neste måned, kaster lys over sikkerhetsspørsmål som følge av måten Android blir oppdatert på, mer spesifikt hvordan Android Package Management Service (PMS) fungerer .

I papiret sa forskerteamet, "Vi bekreftet tilstedeværelsen av problemene i alle Android Open Source Project-versjoner og 3 522 kildekodeversjoner tilpasset av Samsung, LG og HTC. Disse feilene berører alle Android-enheter over hele verden, og utgjør alvorlige trusler mot milliarder av Android-brukere som oppfordres til å oppdatere systemene sine. "

Sårbarheten

Forskerne bestemte at Android lar installerte applikasjoner, hvis det er designet for å skaffe ytterligere muligheter uten eierens samtykke, bare ved å oppdatere telefonens operativsystem til en nyere versjon. Nøkkelen er uttrykket "hvis det er designet." For å teste teorien opprettet forskerteamet ledet av Dr. XiaoFeng Wang, leder for Indiana Universitys Security Systems Lab, malware som vil utnytte sikkerhetsproblemet i oppdateringen.

Når det gjelder hvordan denne skadelige programvaren kan introduseres til Android-mobile enheter, sa Wang at teamet utførte bevis for konseptprøver ved å sende inn flere malware-lastede apper til Android-appbutikker. Wang sa: "Vi testet ved å laste opp skadelig programvare til Google Play, Amazon App Store og andre; og fant at skadelig programvare ble godkjent for publisering av disse butikkene."

Wang sa: "Vi trekker øyeblikkelig ut skadelig programvare når den er godkjent for å unngå at den lastes ned av ekte brukere."

Den skadelige programvaren, når den er lastet ned og installert på Android-enheten, forblir sovende til eieren oppdaterer operativsystemet. Det er interessant å merke seg at etter design beholder oppdateringsprosessen all brukerinformasjon. Forskningsrapporten nevner denne bekvemmeligheten kompliserer oppdateringsprosessen enormt, og dessverre, fordi kompleksiteten gjør at visse sikkerhetsproblemer kan overses.

Utnyttelsen

Når telefonens operativsystem oppdateres, oppdateres også forskerteamets malware. Under oppdateringsprosessen får malware skadevirkningen muligheten til å utnytte ett eller flere av det forskerteamet kaller Pileup (Privilege Escalation through Updating):

  • Innhøsting av tillatelse: Be om tillatelse på en eldre versjon, slik at når OS er oppdatert, gis tillatelsen.
  • Forhåndsvisning av tillatelse: Definer en tillatelse med samme navn som den som skal legges til av den nyere versjonen for å få kontroll over tillatelsen.
  • Delt UID-tak: Bytt ut systemappen med en ondsinnet.
  • Dataforurensning: Injiser skadelige data og konfigurasjoner til nye systemapper, for eksempel et ondsinnet skript som blir injisert i Google-nettleserens cache.
  • Å utnytte tillatelsestrær: Nekter registrering av tillatelser for en ny app under en oppgradering.
  • Blokker Google Play-tjenesten.

Når skadelig programvare har fått tilgang til en av Pileup-feilene, er det mulig at angripere kan utnytte følgende aktiviteter. De som er tilgjengelige for angriperne, avhenger av versjonen av Android OS enheten kjører etter å ha blitt oppdatert:

  • Få tillatelse til å få tilgang til talemeldinger, brukeropplysninger, anropslogger og varsler om andre apper.
  • Send tekstmelding.
  • Start enhver aktivitet uavhengig av tillatelsesbeskyttelse eller eksportstat.
  • Erstatt den offisielle Google Kalender-appen med en ondsinnet app for å få telefonbrukerens hendelsesvarsler.
  • Slipp JavaScript-koden i datakatalogen som skal brukes av den nye Android-nettleseren for å stjele brukerens sensitive data.
  • Hindre brukere fra å installere kritiske systemapper som Google Play Services.

Forskningsgruppen forklarte i papiret hva de anser som den farligste evnen som tilbys ved å utnytte en Pileup-feil: "Få full kontroll over den nye signaturen og systemtillatelsene, og senk beskyttelsesnivåene til 'normale' og vilkårlig endrede beskrivelser brukeren leser når du bestemmer deg for å gi den søknaden visse tillatelser. "

Eksempel på hvordan en Pileup fungerer

Wang beskrev ett scenario om hvordan høst av tillatelser vil netto de gutta få tilgang til eierens telefonsvarer. Slik skjer det:

  1. Den ondsinnede appen som er installert på en enhet med Android 2.3.6 OS, definerer en tillatelse "com.google.android.apps.googlevoice.permission.RECEIVE_SMS" (en tillatelse kreves for å motta Google Voice SMS-meldinger på Android 4.0.4). Merk: På 2.3.6 anerkjenner ikke OS tillatelsen, og vil ikke spørre brukeren om tillatelsen når den ondsinnede appen blir installert.
  2. Når brukeren starter oppdateringsprosessen ved å gå fra 2.3.6 til 4.0.4, gjør oppdateringssårbarheten i det nye operativsystemet den ondsinnede appen i stand til å få Google Voice SMS-tillatelse på 4.0.4 uten brukerens samtykke. Som et resultat er appen gratis å lese SMS-meldinger fra System-appen Google Voice.

Ovennevnte utnyttelse demonstreres i denne YouTube-videoen.

Advarsel: Teknisk forklaring på hvorfor Pileup er så farlig

Forskerteamet forklarte hvorfor Pileup-utnyttelsen er farlig: "Det er fire beskyttelsesnivåer for Android-tillatelser. Normale tillatelser gis til en hvilken som helst app uten brukers eksplisitte samtykke. Farlige tillatelser gis til enhver app på forespørsel, basert på brukerens godkjenning. Signatur og SignatureOrSystem-tillatelser gis til systemapper, men aldri til tredjepartsapper. Ved å utnytte Pileup-feil kan den ondsinnede tredjepartsappen senke eventuelle nye signatur- og signaturOrSystem-tillatelser til en normal tillatelse uten brukers samtykke. Når den ondsinnede appen får slik tillatelse, kan det gjøre mange ting, og ingen av dem er bra. "

Misforståelse

Luyi Xing, medlem av forskerteamet, ønsket å rydde opp i det han sa som en misforståelse som ble presentert i noen nyhetsartikler: "De fleste medier utslo at Google hadde fikset en av de seks Pileup-feilene. Andre medier utslo at alle Pileup-feil var Faktum er at selv om Google hevdet å ha gitt en oppdatering for en (tillatelsesfeilen omtalt ovenfor) av de seks Pileup-sårbarhetene til leverandører i januar, ser det ut til at distribusjonen av lappen av Google og andre leverandører vil ta lengre tid. video demo omtalt ovenfor ble spilt inn 22. mars 2014 på Google Nexus S-telefon, noe som betyr at Googles egne enheter ikke ble lappet på det tidspunktet. "

Sikker oppdateringsskanner

Siden forskerteamet var i stand til å laste inn testprogramvaren i Google Play, var det ikke å akseptere Googles Bouncer. Til det formål utviklet teamet Secure Update Scanner:

Sikker oppdateringsskannerbilde: Indiana University og Microsoft Research

Wang nevnte, "Appen er drevet av et sårbarhetsdatasystem med over 2 millioner poster vi samlet inn gjennom å analysere tusenvis av fabrikkbilder fra Android. Det er viktig for folk som eier Android-enheter å skanne systemene sine ved hjelp av appen før de klikker på oppdateringsknappen. "

På spørsmål om eksisterende antimalware sa Wang at han tvilte på at det vil oppdage skadelig programvare som utnytter Pileup-feilene. Han sa denne trusselen var ny, komplisert og kontekstavhengig.

Siste tanker

Det er noe ironisk. Telefonprodusenter og mobiltelefoneleverandører har langsomt med å få oppdateringer presset ut til de som bruker enhetene og tjenestene sine - og i dette tilfellet er det bra.

Det er viktig å merke seg at forskerteamet gjorde den ansvarlige tingen og rapporterte Pileup-sårbarhet til Google 14. oktober 2013.

© Copyright 2021 | pepebotifarra.com