Bezpečnostní chyba dovoluje získat úplnou kontrolu nad telefonem
Bezpečností experti objevili chybu v součásti operačního systému Android, která, jak tvrdí, umožní hackerům získat úplnou kontrolu nad zařízením.
Výzkumníci společnosti CrowdStrike hodlají své závěry demonstrovat příští týden na velké bezpečnostní konferenci v San Franciscu. Tvrdí, že útočníkovi stačí poslat e-mail nebo zprávu, která vypadá, jako by pocházela od důvěryhodného zdroje – například od mobilního operátora. Zpráva vyzývá uživatele k otevření odkazu, skrze který následně dojde k infiltraci škodlivého kódu.
„Tím hacker získá úplnou kontrolu nad telefonem, jež mu umožní vzdáleně odposlouchávat telefonní hovory a sledovat polohu zařízení,“ řekl Dmitrij Alperovitch, technický ředitel a spoluzakladatel CrowdStrike, který v minulosti pracoval jako viceprezident bezpečnostního výzkumu v McAfee. Tiskový mluvčí Google Jay Nancarrow se odmítl ke zprávě vyjádřit.
Alperovitch tvrdí, že jeho firma provedla výzkum, aby upozornila na fakt, nakolik jsou mobilní zařízení zranitelnější ve srovnání s počítači. Alperovitch dále uvedl, že uživatelé chytrých telefonů se musí připravit na tento typ útoku, který obvykle není možné identifikovat, ani zablokovat bezpečnostním softwarem. „S modifikacemi a využitím různých exploitů, bude tento útok fungovat na každém zařízení, a představuje největší bezpečnostní hrozbu,“ dodal.
Vědci z CrowdStrike nejsou první, kdo našel podobnou hrozbu: v červenci 2009 výzkumníci Charlie Miller a Collin Mulliner přišli na způsob, jak zaútočit na telefony iPhone zasláním škodlivého kódu, vloženého do textové zprávy, který byl pro uživatele neviditelný. Apple chybu opravil několik týdnů poté, co byl na problém upozorněn.
Způsob infiltrace, nalezený výzkumníky CrowdStrike, pracuje na zařízeních se systémem Android 2.2 Froyo, jež je podle údajů k 1. únoru nainstalován na asi 28 % zařízeních s Androidem. Alperovitch ale uvedl, že během tohoto týdne očekává uvedení nové verze softwaru, která bude schopna napadnout telefony se systémem Android 2.3. Gingerbread, je přitom nainstalován 59 % všech zařízení s Androidem.
K útoku je využívána dosud nepublikovaná bezpečnostní chyba v jádře WebKit, na kterém je postaven výchozí webový prohlížeč operačního systému Android. Části WebKitu přitom používají také další programy, včetně prohlížeče Google Chrome a operačního systému Apple iOS. Společnost CrowdStrike se ale nechala slyšet, že se nepokoušela vytvořit variantu své aplikace určenou k útoku na iOS nebo Chrome.
David Trlica
Komentáře (7)
Přidat komentář