آسیب پذیری تازه اندروید

به گزارش اقتصاد نیوز و به نقل از دیجیاتو، بسیاری از کاربران از حافظه های جانبی برای افزایش ظرفیت فضای ذخیره سازی در گوشی های هوشمند اندرویدی استفاده می کنند. در بین این حافظه ها ماکرو اس دی ها محبوب ترین هستند. برخی از اپلیکیشن ها برای ذخیره فایل های سیستمی از این حافظه های جانبی بهره می برند، اگر چه این موضوع خارج از پروتکل های بومی خود اندروید است. حفاظت سندباکس اندروید مانع از دستکاری فایل ها می شود، اما این قابلیت تنها برای حافظه های داخلی کاربرد دارد.

گوگل در راهنمایی هایی که برای توسعه دهندگان در مورد استفاده از حافظه های جانبی منتشر کرده پیشنهاد داده تمهیدات امنیتی از جمله رمزنگاری فایل ها و یا اعتبار سنجی هر فایل غیر رمزنگاری شده را پیش از استفاده از آنها در نظر بگیرند.

گزارش جدید چک پوینت مشخص کرده که با وجود این راهنمایی ها برخی از اپ های خود گوگل هم از این روش پیروی نمی کنند و در برابر حمله ای به نام « مرد روی دیسک » آسیب پذیر هستند. در بین این موارد به گوگل ترنسلیت، Google Voice Typing و نیز Google Text-to-Speech اشاره شده است.

حمله مبتنی بر این روش با نصب یک اپلیکیشن به ظاهر بی خطر ولی حاوی کدهای بد افزار شروع می شود. اپ تقاضای دسترسی به حافظه جانبی می دهد و معمولا بیشتر افراد نیز این اجازه را صادر می کنند. پس از آن اپلیکیشن حاوی بد افزار فایل های اپ هدف را که رمزنگاری نشده بودند دستکاری می کند. سپس هنگامی که اپ هدف شروع به استفاده از فایل ها می کند، در واقع با یک سری فایل دستکاری شده روبرو می شود.

اینکه فایل های دستکاری شده به چه منظوری استفاده شوند، بستگی به هدف اولیه فردی که این حمله را ترتیب داده دارند. این روش می تواند به طور ساده برای کرش کرن هدف مند یک اپلیکیشن به کار رود یا حتی برای فعالیت های پیچیده تری از جمله تغییر دادن مجوزها یا استخراج اطلاعات کاربران کاربرد داشته باشند.

اگر اپ هدف از حافظه جانبی برای ذخیره کردن به روز رسانی ها بهره ببرد، بد افزار می تواند به فایل های به روز رسانی دسترسی داشته باشد و حتی محتوای آنها را تغییر دهد. در این صورت در هنگام نصب، اپلیکیشنی دستکاری شده و کاملاً متفاوت نصب می شود.

پس از اینکه این حفره یافت شد، موسسه چک پوینت با گوگل تماس گرفت و خوشبختانه اکنون این آسیب پذیری در اپ های خود گوگل رفع شده اما چک پوینت تنها اپ های محدودی را آزمایش کرده و بسیاری از آنها به طور بالقوه همچنان می توانند مورد سوء استفاده قرار بگیرند. پیشنهاد می شود برای جلوگیری از چنین مشکلاتی اعتبار اپلیکیشن ها را به دقت بررسی کرده و آنها را از منابع معتبر دانلود کنید.