Podczas konferencji USENIX badacze z IBM ujawnili możliwość ataku na telefony z Androidem, który pozwala na podmianę aplikacji bez wiedzy użytkownika.

System Google ostatnio nie ma szczęścia jeśli chodzi o sprawy związane z bezpieczeństwem - nie tak dawno temu dowiedzieliśmy się o możliwości ataku na 95% urządzeń z Androidem przez lukę w bibliotece Stagefright, teraz przedstawiono kolejną, która pozwala podnieść uprawnienia aplikacji do poziomu uprawnień systemowych bez konieczności udziału użytkownika.

Dziura znaleziona przez badaczy IBM, nazwana CVE-2014-3153, znajduje się w klasie OpenSSLX509Certificate i dotyczy 55% smartfonów i tabletów działających w oparciu o Androida (wersje od 4.3 do 5.1). Do ataku potrzebny jest niewielki fragment kodu, co może spowodować, że złośliwe aplikacje mogą być dostępne także w Google Play.

Podczas instalacji niebezpiecznej aplikacji użytkownik nie jest proszony o nadanie jakichkolwiek uprawnień. Po jej uruchomieniu nie zauważymy żadnych symptomów, które mogłyby sugerować, że program jest zagrożeniem, gdyż będzie wykonywał swoje obowiązki. W tle jednak zostaną podniesione jego uprawnienia, a następnie zostanie pobrany złośliwy plik paczki APK. Pobrana aplikacja nadpisuje dowolną inną, już zainstalowaną na telefonie ofiary, i zaczyna działać jako trojan - podsłuchuje, podgląda, wykrada dane. Działanie ataku możecie zobaczyć na poniższym filmie:

Firma z Mountain View została już poinformowana i napisała patcha. Nie wiadomo jednak, dla jakich modeli urządzeń producenci oraz operatorzy sieci wydadzą stosowne aktualizacje.