Nul
Et nyt angreb teknik, der kaldes “Mand-in-the-Disk” tager fordel af skødesløse opbevaring protokoller i tredjeparts-applikationer for at gå ned offer ‘ s Android mobile enhed.
Når vi betragter mobile angrebsvektorer, malware, sårbarheder i software og phishing-kampagner, kan det komme til at tænke på.
Men den måde, som smartphones og tablets håndtere storage-systemer kan også vise sig at være et overset område, hvor angribere kan nemt mål med alvorlige konsekvenser til følge.
Ekstern storage er en fælles ressource på tværs af de fleste af mobile applikationer og gælder ikke for Android sandkasse opbevaring beskyttelse. I sammenligning, interne lager er bedre beskyttet som sandkasse restriktioner er gældende.
Ifølge forskere fra Check Point, der er “mangler” i, hvordan Google ‘ s Android operativsystem anvender eksterne storage-ressourcer. Da tredjeparts-applikationer og-udviklere er ligegyldig i, hvordan opbevaring er lykkedes, kan dette føre til, hvad holdet kræver “Man-in-the-Disk” – angreb.
Ekstern storage er dannet, enten gennem en partition eller via et SD-kort og er fælles for alle programmer. Man-in-the-Disk-angreb er fokuseret på den eksterne storage aspekt af Android mobile enheder.
“Ikke at ansætte sikkerhed forholdsregler på deres egne blade applikationer sårbare over for risikoen for skadelig data manipulation,” siger team.
Check Point, siger, at nogle apps vil vælge eksterne end interne lager på grund af mangel på ledige kapacitet i den interne lagring, bagudkompatibilitet spørgsmål, eller hvad selskabet kalder “ren dovenskab.”
Når ekstern lagring er at foretrække, Google foreslår, at udviklere sørg for, at input validering er på plads, eksekverbare filer er ikke gemt eksternt, og siger også, at filer skal være underskrevet og kryptografisk bekræftet forud for dynamisk belastning.
Men forskerne siger, at app-udviklere — og selv Google sig — ikke følger disse retningslinjer, forlader Android-brugere, der er åben for angreb.
En række af apps, når du har hentet, vil opdatere eller modtage oplysninger fra bygherren ‘ s server. På grund af præferencer for ekstern opbevaring, data vil ofte passerer gennem ekstern lagerenhed, før du indtaster den app selv.
Denne mulighed giver en mulighed for trussel aktører til at aflytte og manipulere disse oplysninger, før det er gået igennem til en app. Jegdet svarer til Man-in-The-Middle (MiTM) angreb, som overvåger online kommunikation mellem browsere og servere for at exfiltrate eller manipulere med brugernes data.
TechRepublic: Den bedste Samsung Galaxy Note 9 alternativer til under $600
Et problem med dette angreb er, at apps, der søger tilladelse til at få adgang til ekstern lagring er utroligt almindeligt, og det er usandsynligt at hæve nogen mistanke.
Derfor bør en Android-brugeren downloade en uskyldigt udseende app som faktisk er fyldt med skadelig kode, der anmoder om sådanne tilladelser, de er tilbøjelige til at acceptere.
“Fra dette punkt på, at angriberen er i stand til at overvåge de data, der overføres mellem nogen anden app på brugerens enhed og eksternt lager, og overskrive det med sine egne data i tide, fører til, at den uønskede adfærd i angrebet ansøgning,” siger forskerne.
Hvis en Android-enhed er udnyttet på denne måde, vil dette kunne føre til skjult installation af uønskede apps, denial-of-service, injektion af kode, der vil tillade skadelig kode for at køre i den privilegerede baggrund af den kompromitterede ansøgning, samt potentielle nedbrud.
Man-in-the-Disk angreb vektor kan også bruges til at aflytte trafikken og information i relation til andre applikationer.
Se også: 25 Android smartphone-modeller indeholder alvorlige sårbarheder fra hylden
Check Point testet et udvalg af programmer for sårbarhed over for dette angreb. I tilfælde af Google Translate, Yandex Oversætte, og Google Voice Skrive, udviklere ikke til at validere integriteten af data, der læses fra ekstern lager, mens Xiaomi Browser, der bruges til ekstern lagring for app-opdateringer.
Når der gøres opmærksom på de resultater, som Google har frigivet et fix til at løse problemer inden for sine egne apps. Men, Xiaomi “valgte ikke at tage det på dette tidspunkt,” ifølge forskerne.
Andre unavngivne apps blev også fundet til at være sårbar og leverandører blev kontaktet. Når rettelserne er blevet gjort tilgængelige for brugere, deres navne vil blive offentliggjort.
CNET: Google ‘vandt’ t fix’ en Android-S fejl, der dræber Pixel XL hurtig opladning
Test jorden kun medtaget et lille antal af apps, men virksomheden siger, at denne prøve fører det til at tro, at “mange andre apps kan bruge den eksterne storage resource skødesløst, og som derfor kan blive udsat for lignende angreb.”
“Blot retningslinjerne er ikke nok for OS leverandører til at frikende sig selv for ansvaret for, hvad der er designet af app-udviklere,” Check Point siger. “I stedet for, at sikre den underliggende OS er den eneste langsigtede løsning til at beskytte mod denne nye angreb overflade afsløret af vores forskning.”
Opdatering 16.09 BST: Xiaomi talsmand fortalte ZDNet:
“Ved Xiaomi, sikkerhed er vores højeste prioritet og vi holder os til de højeste standarder. En opdatering til dette problem vil blive frigivet i slutningen af denne måned.
Vi undskylder for dette, og vi vil forbedre vores processer til at håndtere sådanne sårbarheder i fremtiden.”
ZDNet har nået ud til at Google, og vil opdatere, hvis vi hører tilbage.
Tidligere og relaterede dækning
Hackere kan stjæle data fra den virksomhed, der anvender kun et faxnummer fremtiden for tingenes internet? Statsstøttet angreb, siger sikkerheds-fagfolk Apple macOS sårbarhed baner vejen for, at systemet kompromis med et enkelt klik
Relaterede Emner:
Mobilitet
Sikkerhed-TV
Data Management
CXO
Datacentre
0