中国の研究者が新たな隠れトロイの木馬の攻撃を報告

悪意のあるコードを追加してAndroidアプリをトロイの木馬化するのは、途方もなく簡単です。 広く利用可能なツールを使用して、誰でもAPKファイルをソースコードに分解し、悪意のあるモジュールを追加し、いくつかの権限を調整し、古いトロイの木馬化されたアプリを再構築できます。 ただし、この詐欺を検出するのは、アプリのデジタル署名をチェックするだけです。 先週、BlueBox Securityの研究者は、「マスターキー」脆弱性と呼ばれるものを報告しました。これは、デジタル署名を変更せずにアプリをトロイの木馬化する手法です。 今週、中国の研究者がトロイの木馬コードを隠す別の方法を報告しています。

壊れていないデジタル署名

ドキュメントまたはファイルにデジタル署名することの重要なポイントは、ファイルが変更されていないことを証明することです。 このプロセスでは、公開キー暗号化の形式を使用します。 秘密鍵で暗号化して、ファイルにデジタル署名します。 暗号化されたファイルが公開鍵を使用して復号化できるという事実は、改ざんされていないことの証拠です。 BlueBoxが、デジタル署名を変更せずに実際にファイルを変更する方法を見つけた場合、暗号化業界全体に衝撃的な打撃を与えることになります。 しかし、そうではありませんでした。

BlueBoxは、数週間のうちにBlack Hatカンファレンスで彼らの研究の全詳細を報告します。 ただし、ViaForensicsの研究者Pau Oliva Foraは、採用されたアプローチを示す概念実証コードを投稿しています。

実際には、非常に簡単です。 APKファイルは、広範なZIPアーカイブアルゴリズムのバージョンを使用して圧縮されます。 ほとんどのZIP実装では、1つのアーカイブで同じ名前のファイルを2つ許可しませんが、アルゴリズム自体はその可能性を禁止しません。 アプリのデジタル署名をチェックするとき、Android OSは最初に一致したファイルを調べますが、実際にファイルを実行して起動すると、 最後の ファイルを取得します。 アプリをトロイの木馬化するために必要なのは、アプリ内に既に存在する名前を使用して悪意のあるコードを挿入することだけです。 Foraのデモは、ほんの数十行のJavaコードです。

別の構造的攻撃

Android Security Squadとしてブログを書いている中国の研究者は、デモンストレーションが興味をそそられることを発見し、検証プロセスを覆す他の方法を探しに行きました。 Googleが翻訳した投稿を読むのは少し難しいですが、攻撃はComputer Science 101レベルのコンセプトに依存しているようです。

コンピュータプログラムは、固定サイズのビットコレクションにカウント数を保存します。 たとえば、8ビットでは、0〜255の数値を表すことができます。負の数値を表す必要がある場合、長年の慣例では、左端のビットは負の数値を示します。 8ビットでは、-128から127までの数値を表すこともできます。2進数の11111111は、符号なしの数値か符号付きの数値かによって、255または-1を表します。

Android Security SquadはAPKファイルのヘッダー形式に目を通し、正のオフセットであると想定されるが、符号付き整数として保存されるデータフィールドを見つけました。 このフィールドを特定の負の値に強制すると、APKローダーは、検証済みのデジタル署名されたコードではなく、悪意のあるコードを実行します。 OK、もう少し複雑ですが、それは大体の仕組みです。

Google Playに固執する

これらのハッキングのどちらも、実際にはAndroidのデジタル署名メカニズムを破壊するものではありません。 どちらも、APK構造の癖を利用して、デジタル署名を無関係にします。 また、どちらもトロイの木馬化されたアプリがグーグルの分析をこっそり抜け出すことを可能にしません。 Googleは、Google Playを特に更新して、「マスターキー」攻撃を使用してトロイの木馬化されたアプリを除外しています。 そのステップがなくても、標準のセキュリティはほぼ確実にトロイの木馬化されたアプリのいずれかのタイプをブロックします。

教訓は明確です。 常に正当なソースからアプリを取得し、開発者名が有効であることを常に確認し、「不明なソース」からアプリをインストールできないように電話を設定します。 アプリが要求するアクセス許可に注意し、疑わしい外観のインストールを中止する準備をします。 携帯通信会社がAndroidアップデートを提供している場合は、常にインストールしてください。 それはただの常識です！