BlueBox Android-skremsel mot malware vil sannsynligvis ikke påvirke deg

Hva om hackere kunne ta en eksisterende legitim app eller oppdatere med en gyldig digital signatur, og endre den for å bruke den som en ondsinnet trojaner for å få tilgang til alt på din Android-telefon eller tablett? Da forskere fra en oppstart av mobilsikkerhet ringte Bluebox Security avslørt at de hadde identifisert nettopp en slik sårbarhet som påvirket "99 prosent" av Android-enheter, skapte det tekniske overskrifter over hele nettet. Men bør du være bekymret?

Hva er problemet?

"Denne sårbarheten, i det minste siden utgivelsen av Android 1.6 (kodenavn: "Donut"), kan påvirke enhver Android-telefon som er utgitt i løpet av de siste 4 årene, forklarte Jeff Forristal, Bluebox CTO, i en innlegg på firmabloggen. Han fortsatte med å påpeke at "...en hacker kan utnytte sårbarheten for alt fra datatyveri til opprettelse av et mobilt botnett."

APK, eller Android-applikasjonspakke, filer er i faresonen fordi denne feilen lar hackere endre en legitim app eller oppdatering, men beholde den digitale signaturen som bekrefter at den er sikker. De kan lage en falsk app for å stjele passordene dine og bruke en legitim digital signatur, slik at Android-telefonen din tror den er laget av et selskap som Samsung, HTC eller til og med Google selv. Siden enhetsprodusenter og pålitelige partnere produserer apper med privilegert tilgang til Android-systemet ditt, er risikoen for at noe ondsinnet piggybacking vei inn på telefonen din svært alvorlig.

Hva gjøres med dette?

Bluebox avslørte Android-sikkerhetsfeil 8219321 til Google tilbake i februar 2013. Google har allerede oppdatert Play-butikken slik at det er kontroller på plass for å blokkere eventuelle ondsinnede apper som bruker denne utnyttelsen. Google delte feilen med sine maskinvarepartnere i Open Handset Alliance, og noen produsenter har allerede gitt ut oppdateringer for å fikse dette sikkerhetsproblemet.

Hvordan kan jeg unngå skadelig programvare?

Hvis du er forsiktig med å aldri la telefonen være uten tilsyn og du bare installerer apper og oppdateringer fra Google Play så er det ingen reell grunn til bekymring fordi du egentlig ikke er utsatt for dette utnytte. Hvis du vil forsikre deg om at du ikke er berørt, gå inn Innstillinger > Sikkerhet og sørg for at boksen tillat installasjon fra "ukjente kilder" ikke er merket av.

Vi har diskutert Grunnleggende sikkerhet for Android-apper før, og de gjelder fortsatt. Kriminelle kan nå ikke bruke Google Play-butikken til å sirkulere skadelig programvare ved å bruke denne utnyttelsen, så det er nå trygt å laste ned apper der. Det du bør unngå er å installere apper eller oppdateringer fra andre kilder – til og med Samsung- eller Amazon-appbutikkene – i det minste for nå. Tredjeparts Android-appbutikker og direkte lenker på nettsteder er de mest sannsynlige leveringsmetodene, men skadelig programvare kan komme via e-post, eller til og med overføre til enheten din via en USB-kabel (hvis du kobler telefonen til din datamaskin).

"Hovedproblemet for å spre skadelig programvare på Android er å få brukeren til å laste ned og installere noe fra usikre kilder (visse tredjepartsmarkeder eller direkte fra nettet),» Maik Morgenstern, fra det uavhengige sikkerhetsinstituttet, AV-Test, forklart oss. "Den rapporterte sårbarheten 'hjelper' ikke skadevareforfattere her på noen måte. De ville fortsatt ha vanskelig for å få kreasjonene sine i Google Play-butikken, og selv om de lykkes, vil appene deres selvfølgelig ikke være oppført under den opprinnelige forfatterens konto. [For eksempel] hvis de lager en trojanisert versjon av Sinte fugler, vil den være oppført under Malware Authors Name og ikke under Rovio. Så brukere ville neppe snuble over disse trojaniserte appene. Hvis brukere bare laster ned apper fra Google Play Store, bør de være trygge.»

Så jeg kan slappe av?

Problemet med Android er at Google kan iverksette tiltak for å fikse feil og hacking, men det kan ikke rulle ut en systemomfattende oppdatering.

"Hovedproblemet er oppdateringspolitikken til mange produsenter," fortalte Morgenstern oss. "Gamle enheter mottar ikke oppdateringer lenger (så disse enhetene vil forbli sårbare) og til og med oppdateringer for nye enheter kan ta måneder." 

Det er opp til individuelle produsenter og mobiloperatører (AT&T, Verizon, T-Mobile, Sprint, etc) å sende oppdateringer ut til enheter. Det er vanlig at eldre Android-enheter blir liggende igjen. Hvis du har en eldre enhet som er i faresonen og du ikke er fornøyd med å holde deg til Google Play, kan du bli utsatt for en stund fremover.

Oppdatering 7-9-2013: Råd fra Bluebox

Etter at denne artikkelen ble publisert, tok Bluebox kontakt med oss. De oppfordrer brukere om at den beste måten å redusere risikoen for dette sikkerhetsproblemet er å "Sjekk med enhetsprodusenten eller mobiloperatøren din om din spesifikke Android-enhetsmodell og OS-versjon for å se om en nylig oppdatering/retting er gjort tilgjengelig." De påpeker også at du kanskje må sjekke utgivelsesnotatene for å bekrefte at en rettelse er inkludert i Oppdater. Hvis du ikke finner en for enheten din, foreslår de at du bør unngå å installere noe fra utenfor Google Play inntil videre.

Bluebox CTO, Jeff Forristal, planlegger å gi ut tekniske detaljer om problemet på sitt foredrag kl Black Hat USA 2013 på slutten av måneden. Det gjenstår å se hvordan de store Android-enhetsleverandørene vil reagere. Vil vil holde deg oppdatert.

Artikkelen ble opprinnelig publisert 7.8.2013.

Redaktørenes anbefalinger

• Ikke gå glipp av sjansen din til å få dette Lenovo Android-nettbrettet for $120
• Du vil ikke tro hvor billig denne iPaden er, takket være Cyber ​​Monday
• Google vil at du skal vite at Android-apper ikke bare er for telefoner lenger
• Det beste med Android 13 er ikke en ny funksjon eller innstilling – det er noe annet
• Trådløs lading fungerer ikke på Pixel med Android 13? Du er ikke alene

Oppgrader livsstilen dinDigitale trender hjelper leserne å følge med på den fartsfylte teknologiverdenen med alle de siste nyhetene, morsomme produktanmeldelser, innsiktsfulle redaksjoner og unike sniktitter.