एंड्रॉइड अंडरडेड पोर्टल्स

एंड्रॉइड मोबाइल ऑपरेटिंग सिस्टम के लिए नए मैलवेयर पर समाचार और शोध आज किसी को आश्चर्यचकित नहीं करेंगे। लेकिन प्लेटफ़ॉर्म की सुरक्षा में सुधार के लिए Google कुछ निश्चित कदम उठा रहा है (वैसे, अपनाए गए OS सुरक्षा मॉडल और OS संस्करणों के बड़े विखंडन के कारण, ऐसा करना बहुत मुश्किल है)। और यह, बदले में, वायरस लेखकों को अपनी संतानों को फैलाने के लिए नए कदम उठाने के लिए मजबूर करता है।
इस लेख में, मैं एंड्रॉइड ओएस के लिए मौजूदा और वर्तमान में उपयोग किए गए मैलवेयर वितरण वैक्टर पर विचार करूंगा। अगर दिलचस्पी है, तो मैं एक बिल्ली के लिए पूछता हूं।

प्रविष्टि

सबसे पहले, एंड्रॉइड के लिए दुर्भावनापूर्ण कार्यक्रमों ने केवल उनके लिए उपलब्ध कार्यक्षमता का दुरुपयोग किया: उन्हें अद्वितीय उपकरण पहचानकर्ता, जियोलोकेशन निर्देशांक प्राप्त हुए, सर्वोच्च प्राथमिकता वाले एसएमएस संदेश प्राप्त हुए, आदि और फिर उन्होंने यह सब अपने निर्माता को भेजा।
लेकिन आज के नवीनतम नवाचार पूरे आरएटी-सिस्टम (रिमोट एडमिनिस्ट्रेशन टूल) हैं, और उनमें से कुछ पहले से ही बूटकिट-टेक्नोलॉजी को छिपाने के लिए उपयोग किए जाते हैं। ये प्रोग्राम अब एंड्रॉइड सुरक्षा मॉडल के ढांचे के भीतर मौजूद नहीं हैं, और वे विभिन्न कमजोरियों के माध्यम से सिस्टम में अपने विशेषाधिकार बढ़ाते हैं। उसके बाद, वे डिवाइस पर अन्य एप्लिकेशन के डेटा और सिस्टम फाइल दोनों को पढ़ने / संशोधित करने के लिए स्वतंत्र हैं - पीसी के लिए अपने समकक्षों की तरह। हम कह सकते हैं कि विकास बिल्कुल उसी मार्ग का अनुसरण करता है।

एक प्राकृतिक कदम था डिस्ट्रीब्यूशन स्टोर में एंटीवायरस सॉफ्टवेयर की उपस्थिति। इस चरण का तर्क स्पष्ट है - उपयोगकर्ताओं को मैलवेयर डाउनलोड करने से रोकने के लिए। इसलिए, 2012 में, Google एंटी-वायरस बाउंसर Google Play पर दिखाई दिया, जबकि Yandex.Store, उदाहरण के लिए, अपना स्वयं का है । एंड्रॉइड ओएस की एक और समस्या विभिन्न एप्लिकेशन स्टोरों की बहुतायत है, जिसके माध्यम से बस चोरी किए गए एप्लिकेशन और एम्बेडेड दुर्भावनापूर्ण कार्यक्षमता को वितरित किया जा सकता है। पूर्व-मॉडरेशन के लिए हर किसी का अपना दृष्टिकोण होता है, और केवल दो दुकानों से पता चलता है कि दुर्भावनापूर्ण कार्यक्षमता के लिए स्वचालित स्कैनिंग उपकरण का उपयोग करें। लेकिन वे, जैसा कि आप जानते हैं, यदि वांछित है तो लागत।

मोबाइल एंटीवायरस के बारे में

आपको यह समझने की आवश्यकता है कि मोबाइल एंटीवायरस भी एंड्रॉइड सुरक्षा मॉडल के हिस्से के रूप में उपकरणों पर काम करते हैं - उन्हें कोई व्यक्तिगत विशेषाधिकार प्राप्त नहीं होता है। वे अपने सैंडबॉक्स में काम करते हैं और अन्य अनुप्रयोगों और सिस्टम के साथ ही कर सकते हैं जो सिस्टम द्वारा प्रदान किया गया है और उन्हें पहली शुरुआत में अनुमति दी गई थी। ऐसी परिस्थितियों में, मैलवेयर से मुकाबला करना मुश्किल है, लेकिन एंटीवायरस महामारी के साथ मदद कर सकता है।

ऐप्स सत्यापित करें

एंड्रॉइड 4.2 में " वेरिफाई ऐप्स " नामक एक नई सुविधा दिखाई दी। यह Google Play से इंस्टॉल नहीं किए गए एप्लिकेशन के लिए मुख्य रूप से उपयोगी है। तो, विकल्प चालू होने के साथ, सिस्टम आपको स्थापना से पहले भी चेतावनी देगा यदि, उसकी राय में, एप्लिकेशन में दुर्भावनापूर्ण कार्यक्षमता है (शायद यह Google द्वारा खरीदी गई VirusTotal सेवा छिपा रही है)।

पोर्टल

तो, चलो मैलवेयर के वितरण वैक्टर पर चलते हैं। मुझे तुरंत कहना होगा कि यह घटनाओं की वर्तमान तस्वीर के बारे में मेरा निजी विचार है। और अगर आपको यहां कुछ जोड़ना है, तो टिप्पणियों में लिखें।



1) दुकान से।

सुरक्षा के संदर्भ में, प्रत्येक Android स्टोर को दो मानदंडों के अनुसार माना जा सकता है:
• स्टोर में अंतर्निहित एंटीवायरस की उपस्थिति;
o हालाँकि, एंटीवायरस को रामबाण के रूप में न लें।
• क्या यह आपके डिवाइस के लिए "विश्वसनीय" स्रोत है:
o यदि फ़र्मवेयर में स्टोर को भरोसेमंद रूप से प्रदान किया जाता है, तो फ़र्मवेयर के लिए कोई भी अन्य स्टोर "अविश्वसनीय" स्रोत होगा और सेटिंग्स में एक विशेष चेकमार्क की स्थापना की आवश्यकता होगी। एक नियम के रूप में, हर कोई डिवाइस पर एकमात्र ऐप स्टोर बनना चाहता है।

1.1) वायरस लेखक ने अपने मालवेयर को स्टोर पर पोस्ट किया, और उपयोगकर्ता ने इसे स्थापित किया।

सबसे आम परिदृश्य। एक हमलावर या तो केवल दुर्भावनापूर्ण कार्यक्षमता के साथ अपना आवेदन अपलोड करता है, या उसे किसी और व्यक्ति में एम्बेड करता है और उसे अपलोड भी करता है - बेशक, पहले अपनी खराब कार्यक्षमता का उपयोग करते हुए मोटापा, समय की देरी आदि का सामना करता है, फिर उपयोगकर्ता स्वयं सहमत होता है, शर्तों को स्वीकार करता है और एप्लिकेशन इंस्टॉल करता है। खेल खत्म

1.2) वायरस लेखक ने एप्लिकेशन अपलोड किया, जो समय के साथ दुर्भावनापूर्ण कोड डाउनलोड करता है।

आप स्टोर में एक अच्छा, गैर-दुर्भावनापूर्ण एप्लिकेशन भी डाल सकते हैं, एक दर्शक प्राप्त कर सकते हैं, और फिर एक दिन अपडेट रोल कर सकते हैं और अपने उपयोगकर्ताओं को बॉट्स की सेना में बदल सकते हैं। खेल खत्म
इस दिशा में, मुझे वास्तव में शोधकर्ता डैनियल Divricean की आखिरी खोज पसंद आई। उन्होंने पाया कि केवल 3 अनुमतियों के साथ आवेदन:
• android.permission.INTERNET - एप्लिकेशन को नेटवर्क सॉकेट खोलने की अनुमति देता है;
• android.permission.GET_ACCOUNTS - लेखा सेवा में खातों की सूची तक पहुँच देता है;
• android.permission.USE_CREDENTIALS - एप्लिकेशन को खाता प्रबंधक से ऑर्टोटोकेंस का अनुरोध करने की अनुमति देता है, -
यह आपके खाते के लिए बंधे सभी उपकरणों पर, आपकी जानकारी के बिना किसी भी अनुमतियों (आप सीधे सभी के साथ) के साथ किसी भी एप्लिकेशन को स्थापित करने में सक्षम है! खेल खत्म

१.३) वायरस लेखक ने एक अच्छा अनुप्रयोग खरीदा / हैक किया जो पहले से ही लाखों उपकरणों की लागत रखता है और अद्यतन के साथ इसमें दुर्भावनापूर्ण कार्यक्षमता जोड़ी गई है।

यह पागल व्यक्ति की कल्पना नहीं है, बल्कि एक दुखद वास्तविकता है । मुझे लगता है कि समय के साथ यह वेक्टर अधिक लोकप्रिय हो जाएगा। इस संबंध में, डेवलपर खातों के हैक / चोरी की संख्या में वृद्धि होगी। खेल खत्म

2) अज्ञात स्रोतों से।

एंड्रॉइड ओएस में एक अज्ञात स्रोत से एप्लिकेशन इंस्टॉल करने के लिए, उपयोगकर्ता को सेटिंग्स मेनू में केवल एक टिक लगाने की आवश्यकता है।



2.1) उपयोगकर्ता ने स्वयं कहीं से एप्लिकेशन इंस्टॉल किया है।

उपयोगकर्ता ऐसा क्यों कर रहा है? 1000 और 1 कारण हो सकते हैं, और उन सभी पर विचार करना बेवकूफी है। हमलावर, अक्सर सोशल इंजीनियरिंग की मदद से, अपने आवेदन को दूरस्थ बैंकिंग के साथ सुरक्षित काम के लिए या कैफे में इंटरनेट तक मुफ्त पहुंच के लिए माना जाता है, सामान्य तौर पर, यह वेक्टर केवल हमलावर की कल्पना और उसके शिकार की मूर्खता / अज्ञानता तक सीमित होता है। खेल खत्म

2.2) एक कंप्यूटर वायरस से संक्रमित है जो डिवाइस पर एक मोबाइल मैलवेयर डालता है।

यह वेक्टर वास्तविक और काफी मूल भी है। सच है, निश्चित रूप से, इसकी कई शर्तें हैं: अविश्वसनीय स्रोतों से स्थापित करने की अनुमति और एडीबी के माध्यम से डिबग करने की अनुमति। लेकिन एक ही समय में, सब कुछ पारदर्शी रूप से पीड़ित को होता है। खेल खत्म

3) भेद्यता के माध्यम से।

कोई फर्क नहीं पड़ता कि यह कितना अद्भुत लग सकता है, लेकिन एंड्रॉइड आपके आवेदन में बाहर से निष्पादन योग्य कोड प्राप्त करने और इसे निष्पादित करने की संभावना छोड़ देता है
यदि iOS (बिना जेलब्रेक) में केवल Apple-हस्ताक्षरित कोड निष्पादित किया जा सकता है (एड-हॉक एप्लिकेशन एक अलग कहानी है), तो एंड्रॉइड में आप अपने सर्वर से कोड प्राप्त कर सकते हैं और इसे अपने एप्लिकेशन के संदर्भ में निष्पादित कर सकते हैं, जबकि कोई डिफ़ॉल्ट कोड हस्ताक्षर नहीं है।
और यह अक्सर उपयोग किया जाता है:
• विभिन्न विज्ञापन नेटवर्क;
• आवेदन को अद्यतन करते समय (उदाहरण के लिए, खेल में एक नया स्तर जोड़ते समय);
• आवेदन के परीक्षण की प्रक्रिया में।

3.1) कोड लोडिंग के माध्यम से।

इस परिदृश्य को लागू करने के लिए, एक हमलावर को RCE भेद्यता और एक MiTM हमले का संचालन करने की क्षमता की आवश्यकता होती है।
यदि MiTM के साथ सब कुछ स्पष्ट और सामान्य है (खुले रूप में डेटा स्थानांतरण या एसएसएल के साथ गलत काम), तो आइए एंड्रॉइड में आरसीई पर ध्यान दें। यह, उदाहरण के लिए, निम्नलिखित तरीकों से प्राप्त किया जा सकता है:
• जावास्क्रिप्ट इंटरफ़ेस:
ओ हम पहले ही इस बारे में यहां विस्तार से बात कर चुके हैं ;
• क्लास लोडर:
o हमलावर का कोड DexClassLoader () में मिलता है;
• पैकेज संदर्भ:
o एक कमजोर एप्लिकेशन दूसरे एप्लिकेशन से कोड डाउनलोड और निष्पादित कर सकता है (एक हमलावर के स्वामित्व में)। इस परिदृश्य में, MiTM की आवश्यकता नहीं है - मुख्य बात यह है कि हमारा आवेदन पहले से ही पीड़ित के डिवाइस पर होना चाहिए, जो हमें विशेषाधिकारों के बिना कमजोर संदर्भ में जाने में मदद करेगा।

उदाहरण के लिए, पेपाल में इस तरह की भेद्यता (इस लेखन के समय)।
समस्या के सार और इसके दायरे की गहरी समझ के लिए, मैं आपको " एक्सट्यूट - एनालिसिसिंग अनसेफ एंड मैलीसियस डायनामिक कोड लोडिंग इन एंड्रायड एप्लिकेशन " के अध्ययन का उल्लेख करने की सलाह देता हूं। खेल खत्म

3.2) किसी अन्य एप्लिकेशन की भेद्यता के माध्यम से।

यह मत भूलो कि एंड्रॉइड के पास आईपीसी के लिए बहुत व्यापक तंत्र है, जो बहुत दिलचस्प कमजोरियों को जन्म दे सकता है। एंड्रॉइड ओएस में स्वयं कमजोरियां हैं, उदाहरण के लिए, साइबर अपराधियों द्वारा अपने राक्षसों के चिड़ियाघरों को गुप्त रूप से फैलाने के लिए उपयोग किया जा सकता है।

4) पिछले दरवाजे।
यह दुखद है, लेकिन सच है: जब आप इसे खरीदते हैं तो आपके डिवाइस में पहले से ही ऐसा "वर्तमान" हो सकता है। वह वहां कैसे गया (जानबूझकर / दुर्घटनावश), किसके द्वारा और किसके लिए उसका उपयोग एम्बेडेड एप्लीकेशन के स्तर पर किया जाएगा, या OS, या फर्मवेयर, एक और कहानी है।
सैमसंग के साथ नवीनतम हड़ताली उदाहरण। खेल खत्म

आपका ध्यान के लिए धन्यवाद!

पुनश्च: उन लोगों के लिए जो मोबाइल मैलवेयर का अध्ययन करना चाहते हैं, मैं आपको इन अभिलेखागार पर ध्यान देने की सलाह देता हूं: 1 , 2 ।