एंड्रॉइड में कमजोरता हमलावरों को किसी भी एप्लिकेशन को ट्रोजन में बदलने की अनुमति देती है

ब्लूबॉक्स सुरक्षा लैब्स अनुसंधान टीम ने हाल ही में एंड्रॉइड सुरक्षा मॉडल में एक भेद्यता की खोज की, जो आपको एप्लिकेशन के क्रिप्टोग्राफ़िक हस्ताक्षर को नुकसान पहुंचाए बिना .apk एप्लिकेशन कोड को बदलने की अनुमति देता है। इस प्रकार, आप किसी भी हस्ताक्षरित एप्लिकेशन को ट्रोजन में बदल सकते हैं। इसके अलावा, बिल्कुल कोई भी प्रतिस्थापन की सूचना नहीं देगा। न तो Play Market, न ही फ़ोन, और न ही उपयोगकर्ता।
यह भेद्यता एंड्रॉइड 1.6 "डोनट" या, दूसरे शब्दों में, किसी भी फोन पर 4 साल पहले की तुलना में खरीदे जाने के बाद से मौजूद है। या यह लगभग 900 मिलियन डिवाइस है। आवेदन के प्रकार के आधार पर, हमलावर डेटा चोरी करने या मोबाइल बॉटनेट बनाने के लिए भेद्यता का उपयोग कर सकते हैं।



व्यक्तियों और उद्यमों के लिए (एक दुर्भावनापूर्ण एप्लिकेशन कुछ डेटा तक पहुंच प्राप्त कर सकता है, या उद्यमों में प्रवेश कर सकता है), खतरा काफी अधिक है, विशेष रूप से यह देखते हुए कि डिवाइस निर्माताओं द्वारा विकसित किए गए एप्लिकेशन (उदाहरण के लिए, एचटीसी, सैमसंग, मोटोरोला, एलजी) या तीसरे पक्ष। जो डिवाइस निर्माता के साथ मिलकर काम करते हैं, उनके एंड्रॉइड पर विशेष विशेषाधिकार हैं।

डिवाइस निर्माता से एप्लिकेशन में कोड एम्बेड करना एंड्रॉइड सिस्टम और सभी इंस्टॉल किए गए एप्लिकेशन (या उनके डेटा) तक पूर्ण पहुंच प्रदान कर सकता है । तब एप्लिकेशन को डिवाइस (ई-मेल, एसएमएस संदेश, दस्तावेज, आदि) पर न केवल मनमाना एप्लिकेशन डेटा पढ़ने का अवसर मिलेगा, बल्कि संग्रहीत पासवर्ड तक पहुंचने का भी मौका होगा। इसके अलावा, यह फोन को सामान्य रूप से काम करने और किसी भी फ़ंक्शन को नियंत्रित करने से नहीं रोकेगा (मनमाने फोन कॉल करें, मनमाने एसएमएस संदेश भेजें, कैमरा चालू करें और कॉल रिकॉर्ड करें)। अंत में, आप एक संपूर्ण बॉटनेट बना सकते हैं।



यह कैसे काम करता है:
सभी Android अनुप्रयोगों में क्रिप्टोग्राफ़िक हस्ताक्षर होते हैं जो एंड्रॉइड ऑपरेटिंग सिस्टम को यह निर्धारित करने और सत्यापित करने की अनुमति देते हैं कि प्रोग्राम ने कोड के साथ हस्तक्षेप किया है या नहीं। जब एप्लिकेशन इंस्टॉल होता है, तो इसके लिए एक सैंडबॉक्स बनाया जाता है, एंड्रॉइड इस एप्लिकेशन के डिजिटल हस्ताक्षर को रिकॉर्ड करता है। आवेदन के लिए सभी बाद के अपडेट यह सत्यापित करने के लिए कि यह एक ही लेखक का है, इस हस्ताक्षर से मेल खाना चाहिए।

भेद्यता उस विसंगति का शोषण करती है जिसकी अनुमति एपीके एप्लिकेशन को संशोधित करते समय, एप्लिकेशन के क्रिप्टोग्राफिक हस्ताक्षर को नुकसान पहुंचाए बिना किया जाता है। सरल शब्दों में, भेद्यता आपको एंड्रॉइड को ट्रिक करने की अनुमति देती है और यह सोचेंगी कि एप्लिकेशन को संशोधित नहीं किया गया है।



अपनी प्रस्तुति में, जेफ एंड्रॉइड ओएस पर बग 8219321 के बारे में बात करेगा, जिसे उसने इस साल फरवरी में Google को सूचना दी थी, और एक ऐसा कारनामा, जो उम्र की परवाह किए बिना लगभग सभी एंड्रॉइड डिवाइसों पर काम करता है।

स्क्रीनशॉट से पता चलता है कि ब्लूबॉक्स सुरक्षा ने निर्माता से आवेदन को बदल दिया है ताकि अब उनके पास डिवाइस तक पूरी पहुंच हो। इस मामले में, कंपनी ने डिवाइस के लिए सॉफ़्टवेयर जानकारी को बदल दिया।



हमलावर ऐसे ट्रोजन अनुप्रयोगों को वितरित करने के लिए कई तरीकों का उपयोग कर सकते हैं, जिसमें उन्हें ईमेल द्वारा भेजना, उन्हें तीसरे पक्ष के बाजार में डाउनलोड करना, उन्हें किसी भी वेबसाइट पर रखना शामिल है। इनमें से कुछ तरीके, विशेष रूप से तृतीय-पक्ष एप्लिकेशन रिपॉजिटरी, पहले से ही एंड्रॉइड के लिए दुर्भावनापूर्ण सॉफ़्टवेयर वितरित करने के लिए उपयोग किए जा रहे हैं। संशोधित किए गए एप्लिकेशन को वितरित करने के लिए Google Play का उपयोग करना विफल हो जाएगा। क्योंकि Google ने उन अनुप्रयोगों को अवरुद्ध करने के लिए बाज़ार में एक आवेदन लिखने की प्रक्रिया को अपडेट किया है जिनमें यह समस्या है।

वैसे, Google को फरवरी में वापस भेद्यता के बारे में सूचित किया गया था, और कंपनी ने अपने भागीदारों के साथ जानकारी साझा की। और अब भागीदारों को यह तय करने की आवश्यकता है कि उपकरणों के लिए अपडेट कब जारी किया जाए। Forristal ने पुष्टि की कि एक डिवाइस, सैमसंग S4, पहले से ही एक पैच है जो दर्शाता है कि कुछ डिवाइस निर्माता पहले ही पैच जारी करना शुरू कर चुके हैं। Google ने अभी तक अपने Nexus डिवाइस के लिए कोई पैच जारी नहीं किया है, लेकिन कंपनी इस पर काम कर रही है।

यदि आपका Habrahabr पर कोई खाता नहीं है, तो आप BoxOverview.com पर हमारे लेख पढ़ सकते हैं और टिप्पणी कर सकते हैं