Titokban támadhatók az androidos telefonok

Kényelmi szempontokon túl, a biztonság tekintetében is sok pozitívumot hordoznak az olyan központi szoftverletöltő áruházak, mint amilyen az Android Market. Itt – elméletileg – minden alkalmazás átesik egy hivatalos vizsgálaton, ami a kártevő illetve káros tevékenységet kifejtő programokat hivatott kiszűrni. Azonban ez sem jelent feltétlenül száz százalékos megoldást, ami viszont azért probléma, mert – ma még – a felhasználók feltétel nélkül bíznak innen beszerzett programjaikban.

Ezt használta ki Jon Oberheide, a Scio Security-nál vezető beosztásban dolgozó kutató, aki létrehozott egy úgynevezett elképzelést bizonyító (proof-of-concept) appot, demonstrálandó az Android egy súlyos hiányosságát. Feltett egy, a platformon különösen népszerűnek számító Angry Birds játék kiegészítőjének hazudott alkalmazást a piactérre, melyet bárki letölthetett. Miután ez megtörtént, az adott felhasználónál három további program került installálásra – anélkül, hogy erről a telefon tulajdonosa tudomást szerzett volna!

A titokban fellopakodott, ártalmas alkalmazások listája

Oberheide erről az Intel éves rendszerességgel megrendezésre kerülő szakmai biztonsági konferenciáján számolt be az oregoni Hillsboro-ban, Zach Lanierrel, az Interpidus Group vezető tanácsadójával együtt. Ám még prezentációjuk bemutatása előtt közbelépett a Google, és eltávolította az Android Marketből az ominózus appot. Nem sokkal később pedig a keresőóriás egyik szóvivője hivatalosan is megerősítette, hogy megkezdték a sebezhetőséget eltüntető patch-ek kibocsátását, mely az összes Android eszközre telepíthető.

Nem ez az első, és nem is az utolsó olyan sérülékenység, mely az Android hibáit használja ki. Maga Oberheide is már régi motorosnak számít e téren: korábban már két kísérleti alkalmazást is feltett a nyíltforrású rendszer szoftverpiacterére, melyekkel ártalmas programot terjesztésének lehetőségét vizsgálta. Ezek az appok egy későbbi, okostelefonok ellen irányuló támadást segítettek volna elő, amivel a kutató távolról ellenőrizhetővé tette volna a defektes telefonokat (további részletek itt). Természetesen a Google ezeket az alkalmazásokat is törölte adatbázisából.

Egyre nagyobb veszélyben
„Mivel a mobilkészülékek firmware frissítései gyakran lassabban jelennek meg, mint a PC-s szoftverek update-jei, akár heteket vagy hónapokat is igénybe vehet a kiadás, meglehetősen hosszú időszak telik egy mobilos sérülékenység ismertté és a felhasználók védetté válása között.” – osztotta meg a nyilvánossággal aggodalmait Kevin Mahaffey, a mobilbiztonsági megoldásokkal foglalkozó Lookout vállalat vezető kutatója. Az okostelefonok felhasználóinak éppen ezért nagy körültekintéssel kell(ene) webezniük, és csak olyan helyről javasolt az alkalmazásletöltés, melyet megbízható fejlesztők üzemeltetnek. Különösen akkor, ha ismert márkanévvel találkoznak egy ismeretlen szolgáltató oldalán.