根本的な「偽のID」の欠陥によりマルウェアが暴走する

モバイルオペレーティングシステムの最も優れた点の1つは、サンドボックス化です。 この手法は、アプリケーションを区分化し、危険なアプリ（またはアプリ）がAndroidを自由に操作できないようにします。 しかし、新しい脆弱性は、Androidのサンドボックスが思ったほど強力ではないことを意味する場合があります。

それは何ですか？

Black Hatで、Jeff Forristalは、Androidが証明書を処理する方法の欠陥を使用してサンドボックスを回避する方法を示しました。 悪意のあるアプリに高い特権レベルを与え、被害者に携帯電話で何が起こっているのかについての手がかりを与えることなく使用することさえできます。 フォーリスタルは、この脆弱性はデータ、パスワードを盗み、さらには複数のアプリを完全に制御するために使用される可能性があると述べました。

問題の中心にあるのは証明書です。証明書は基本的に、アプリが主張するとおりのものであることを保証するための小さな暗号化文書です。 Forristalは、本物であることを保証するためにWebサイトで使用されているのとまったく同じテクノロジーだと説明しました。 しかし、Androidは証明書間の暗号化関係を調べていないことがわかりました。 Forristalによると、この欠陥は「Androidセキュリティシステムのかなり基本的なもの」だという。

実際的な結果は、悪意のあるアプリケーションを作成し、偽の証明書を使用でき、Androidに関する限り、そのアプリは合法であるということです。 ForristalがFake IDと呼ぶこの根本的な問題により、Androidに多数の脆弱性とエクスプロイトが導入されます。 デモでは、フォーリスタルは6日前に購入した新しい電話を使用しました。

何をする

デモでは、Forristalは、偽のIDの脆弱性の1つを使用した悪意のあるコードを含む偽のGoogleサービスアップデートを使用しました。 被害者がアプリをインストールしようとすると、アプリは許可を必要とせず、正当であるように見えます。 Androidがインストールを実行し、すべてが正常に表示されます。

しかし、バックグラウンドで、Forristalのアプリは偽のIDの脆弱性を使用して、デバイス上の他のアプリに悪意のあるコードを自動的かつ即座に挿入しました。 具体的には、情報がAndroidにハードコードされているFlashを更新するためのAdobe証明書。 数秒のうちに、彼はデバイス上の5つのアプリを制御しました。そのうちのいくつかは、被害者のデバイスに深くアクセスできました。

ForristalがAndroidを台無しにしたのはこれが初めてではありません。 2013年、ForristalはいわゆるMaster Keyエクスプロイトを発表したときにAndroidコミュニティを驚かせました。 この広範囲にわたる脆弱性は、偽のアプリが正当なものに偽装され、悪意のあるアプリに無料のパスを与える可能性があることを意味しました。

IDを確認

Forristalの発表は、Androidに関する目を見張るようなニュースを提供しただけでなく、私たちの安全を守るためのツールも提供しました。 Forristalは、この脆弱性を検出する無料のスキャンツールをリリースしました。 もちろん、それは依然として、マルウェアが携帯電話に侵入するのを防ぐ必要があることを意味します。

バグはGoogleにも報告されており、パッチは明らかに異なるレベルで公開されています。

さらに重要なことは、攻撃全体がアプリをインストールする被害者にかかっていることです。 確かに、多くの許可を求める赤い旗はありませんが、Forristalは、ユーザーが「怪しい場所」（Google Playの外で読む）からアプリを避ければ安全だと言いました。 少なくとも今のところは。