Jak lze služby Android Accessibility použít k hacknutí telefonu

  • Mark Lucas
  • 0
  • 4428
  • 1079
reklama

Říká se, že cesta do pekla je dlážděna dobrými úmysly. Můžete udělat něco s nejvelkolepějšími konci, ale pokud si nejste opatrní, může to všechno hrozně strašit, neuvěřitelně rychle.

Bezpečnostní chyba v přístupových službách pro Android - objevená výzkumným pracovníkem v oblasti bezpečnosti SkyCure Yair Amit - je toho dobrým příkladem. Využitím chyby v nástroji, která umožňuje nevidomým a zrakově postiženým osobám používat zařízení Android, by útočník mohl získat kontrolu nad zařízením, v procesu získávání zvýšených oprávnění a zablokovat přístup k souborům uloženým v něm..

Pojďme se podívat a zjistíme, jak tomu zabránit.

Porozumění Flaw

Využití vychází z dřívějšího výzkumu SkyCure, který byl zveřejněn na letošní konferenci RSA. Výzkum prozkoumal, jak vytvořením aplikací, které mohou čerpat nad ostatními, a následně spuštěním vestavěných služeb usnadnění přístupu (vylepšení uživatelského rozhraní navržených na pomoc uživatelům se zdravotním postižením), můžete zavést různé druhy maligního chování, jak je ukázáno v video níže.

Jako důkaz konceptu vytvořila společnost SkyCure hru založenou na populárním televizním seriálu Rick and Morty, který ve skutečnosti zahajuje službu škodlivého přístupu, vše bez vědomí uživatele.

Při popisu původní hrozby SkyCure říká, že by na ni mohla být zvyklá “dát škodlivému hackerovi prakticky neomezená oprávnění ke svému malwaru”. Jednou z potenciálních aplikací pro útok, říká SkyCure, je nasazení ransomware. Mohlo by se také použít k vytváření firemních e-mailů a dokumentů prostřednictvím zařízení uživatele a také k neustálému sledování činnosti zařízení.

Tento typ útoku má jméno - clickjacking, nebo méně běžně “UI napraví útok”. OWASP (Open Web Application Security Project) definuje clickjacking jako kdy “útočník používá několik průhledných nebo neprůhledných vrstev, aby přiměl uživatele, aby kliknul na tlačítko nebo odkaz na jiné stránce, když měl v úmyslu kliknout na stránku nejvyšší úrovně”.

Od verze Android Lollipop (5.x) přidala Google řešení, které by teoreticky znemožnilo tento druh útoku. Změna zavedená společností Google znamenala, že pokud uživatel chtěl aktivovat služby usnadnění přístupu, tlačítko OK nemohlo být pokryto překryvem, což brání útočníkovi v jejich spuštění stealth.

Jako příklad to vypadá, když spustíte službu usnadnění ručně. Jak vidíte, společnost Google je velmi výslovná, pokud jde o požadovaná oprávnění pro systém Android Jak fungují oprávnění pro aplikace pro Android a proč byste se měli starat o to, jak fungují oprávnění pro aplikace pro Android a proč byste se měli o to starat. Můžete chránit své soukromí, zabezpečení a účet za mobilní telefon věnováním pozornosti při instalaci aplikací - i když mnoho uživatelů…. To odradí mnoho uživatelů od instalace služeb usnadnění přístupu na prvním místě.

Jak porazit ochranu Google

Yair Amit však našel v přístupu společnosti Google chybu.

“Byl jsem v hotelu, když mě napadlo, že ačkoli dveře hotelu většinou blokovaly můj výhled na chodbu venku, byla kukátka, která výhled neblokovala. To byla moje zjevení, která mě vedla k názoru, že kdyby v překryvném otvoru byla díra, tlačítko OK by mohlo být „většinou zakryté“ a stále přijímat dotek v potenciálně velmi malé oblasti, která nebyla zakryta, čímž by obcházela novou ochranu a stále skrývá skutečný záměr před uživatelem.”

Pro vyzkoušení této myšlenky modifikovala vývojářka softwaru SkyCure Elisha Eshed hru Rick and Morty, která byla použita v původním konceptu exploit. Eshed vytvořil malou díru v překryvu, která byla maskována jako položka hry, ale ve skutečnosti byla potvrzovacím tlačítkem na přístupové službě. Když uživatel klikl na položku hry, byla spuštěna služba as tím i veškeré nežádoucí chování.

Zatímco původní zneužití fungovalo proti prakticky všem zařízením s Androidem se systémem Android KitKat, je to oficiální: Nexus 5 a Android 4.4 KitKat jsou zde, je to oficiální: Nexus 5 a Android 4.4, KitKat je tady. Nexus 5 je nyní v prodeji v obchodě Google Play a běží zbrusu nový Android 4.4 KitKat, který bude také uveden na další zařízení „v příštích týdnech“. a dříve, tento přístup zvyšuje počet využitelných zařízení, aby zahrnovala i zařízení se systémem Android 5.0 Lollipop Android 5.0 Lollipop: Co to je a kdy to dostanete Android 5.0 Lollipop: Co to je a kdy to dostanete Android 5.0 Lollipop je zde, ale pouze na zařízeních Nexus. Co přesně je nového v tomto operačním systému a kdy můžete očekávat, že dorazí na vaše zařízení? . V důsledku toho jsou téměř všechna aktivní zařízení Android vůči tomuto útoku zranitelná. SkyCure odhaduje, že by mohlo být ovlivněno až 95,4% zařízení Android.

Zmírnění proti tomu

V souladu s rozumnými postupy odpovědného zveřejňování Úplné nebo odpovědné zveřejnění: Jak jsou zveřejněny bezpečnostní chyby Úplné nebo odpovědné zveřejnění: Jak jsou zveřejněny bezpečnostní chyby Bezpečnostní chyby v populárních softwarových balíčcích jsou objeveny stále, ale jak jsou hlášeny vývojářům a jak hackeři se dozvědí o zranitelnostech, které mohou zneužít? , SkyCure nejprve kontaktoval společnost Google před jejím zveřejněním, aby jim dal příležitost ji opravit. Tým Google pro zabezpečení Android se rozhodl problém nevyřešit a přijmout riziko v důsledku současného designu.

Aby se zabránilo této hrozbě, SkyCure doporučuje, aby uživatelé spustili aktualizovanou verzi řešení ochrany mobilních hrozeb. Tito proaktivně se brání před hrozbami, podobně jako IPS (Intrusion Protection System) nebo IDS (Intrusion Detection System). Jsou však převážně zaměřeny na podnikové uživatele a jsou daleko za prostředky většiny domácích uživatelů.

SkyCure doporučuje domácím uživatelům, aby se chránili tím, že zajistí, že stahují aplikace pouze z důvěryhodných zdrojů. Je bezpečné nainstalovat aplikace pro Android z neznámých zdrojů? Je bezpečné nainstalovat aplikace pro Android z neznámých zdrojů? Obchod Google Play není jediným zdrojem aplikací, ale je bezpečné hledat jinde? , jako je Obchod Google Play. Doporučuje také, aby zařízení provozovala aktualizovanou verzi systému Android, i když vzhledem k roztříštěnému ekosystému Android a procesu aktualizací řízených operátorem Proč nebyl můj telefon s Androidem aktualizován? Proč nebyl můj telefon s Androidem aktualizován? Proces aktualizace systému Android je dlouhý a komplikovaný; podívejme se, abychom zjistili, proč aktualizace telefonu Android trvá tak dlouho. , to se snadněji říká, než udělá.

Stojí za zmínku, že Marshmallow - nejnovější verze systému Android - vyžaduje, aby uživatelé ručně a konkrétně vytvořili systémové překrytí změnou oprávnění pro tuto aplikaci. I když tento typ zranitelnosti by mohl mít vliv na zařízení se systémem Marshmallow, ve skutečnosti se to nestane, protože je výrazně těžší ho využít.

Uvedení všeho do kontextu

SkyCure identifikoval nebezpečný a životaschopný způsob, jak by útočník mohl zcela ovládat zařízení Android. I když je to děsivé, stojí za to připomenout si, že pro útok založený na tom musí fungovat mnoho karet.

Útočník musí udělat jednu ze dvou věcí. Jednou z taktik by bylo nasazení jejich aplikace do obchodu Google Play - na druhé straně obejít jejich extrémně energické statické analýzy a postupy detekce hrozeb. To je velmi nepravděpodobné. Šest let od otevření a po milionech aplikací později se společnost Google stala velmi dobrou v identifikaci malwaru a falešného softwaru. V tomto bodě platí i Apple, i když Microsoft má ještě dlouhou cestu.

Útočníci budou také muset přesvědčit uživatele, aby si nastavil telefon, aby přijímal software z neoficiálních zdrojů, a aby nainstaloval jinak neznámou aplikaci. Vzhledem k tomu, že je nepravděpodobné, že najde velké publikum, bude vyžadovat, aby útočníci buď vybrali cíl a „kopí phish“ je.

I když to bude nevyhnutelně noční můrou pro firemní IT oddělení, bude to menší problém pro běžné domácí uživatele, z nichž většina získává své aplikace z jediného oficiálního zdroje - z obchodu Google Play..

Image Credit: Broken visací zámek Ingvar Bjork přes Shutterstock




Bisher hat noch niemand einen Kommentar zu diesem Artikel abgegeben.

O moderní technologii, jednoduché a cenově dostupné.
Váš průvodce ve světě moderních technologií. Naučte se, jak používat technologie a pomůcky, které nás každý den obklopují, a naučte se, jak objevovat na internetu zajímavé věci.