Новая технология доставки приложений из Android Market создает угрозы безопасности

Антивирусные эксперты из компании Sophos выступили с предупреждением относительно потенциальной опасности нового функционала доставки приложений, введенного с появлением Интернет-версии магазина Android Market. По их мнению, данный механизм открывает путь к скрытому внедрению шпионского и вредоносного программного обеспечения в мобильные устройства пользователей.

Напомним, что онлайн-представительство Android Market появилось на прошлой неделе синхронно с представлением новой версии ОС от Google - 3.0 "Honeycomb". Поисковый гигант ранее заявлял, что его не радует относительно низкий объем продаж ПО в магазине, так что открытие сайта можно рассматривать как попытку исправить сложившееся положение.

Предупреждение Sophos было опубликовано считанные дни спустя; в нем говорится, что схема продаж программ через веб-узел Android Market характеризуется наличием изъяна критической опасности - в ней отсутствует шаг подтверждения установки того или иного приложения. Если, допустим, на сайте Apple iTunes Preview пользователи могут лишь просмотреть имеющиеся в наличии продукты (купить их можно только через программное обеспечение iTunes), то в Интернет-версии магазина Google разрешается не только ознакомиться с той или иной разработкой - ее можно приобрести там же, на ресурсе, после чего оплаченное приложение будет удаленно установлено прямо на мобильное устройство клиента без каких-либо дополнительных запросов. Наличие подобного функционала подается как уникальная возможность, которой нет ни у кого из конкурентов.

Однако именно в этом, по мнению экспертов Sophos, и кроется потенциальная опасность. Купленные приложения отправляются на телефон или планшетный компьютер клиента и устанавливаются автоматически; описанный процесс не предусматривает никаких предупредительно-разрешительных механизмов, которые бы ставили пользователя в известность об инсталляции и позволяли при желании ее контролировать либо вовсе от нее отказаться. Соответственно, если злоумышленник получит доступ к учетной записи владельца, то он сможет удаленно засылать и устанавливать на его мобильное устройство любые приложения по своему усмотрению, причем не только без санкции, но и попросту без ведома жертвы. "Благодаря" новому механизму узнать об установке такого программного продукта невозможно; его можно только случайно обнаружить впоследствии.

Ситуация осложняется еще и тем, что приложения для Android могут получать доступ к самым разнообразным функциям телефона или планшета, а решение о релевантности соответствующих запросов возлагается на пользователя при выборе продукта и просмотре его описания. К примеру, если программа желает читать все данные, хранящиеся на устройстве, отправлять SMS на платные номера и отслеживать географическое местоположение пользователя, то роль Google сводится к тому, чтобы опубликовать соответствующее уведомление на странице приложения в магазине; определять, действительно ли продукт нуждается в столь широких привилегиях, и сообразно этому решать, стоит ли покупать / загружать его, должен сам пользователь. Очевидно, что если "выбор" будет совершать злоумышленник, то жертва рискует получить на свое мобильное устройство приложение с самыми широкими привилегиями.

Отсюда следует, что владельцам Android-устройств необходимо самым тщательным образом следить за сохранностью своих аутентификационных сведений для универсальной учетной записи Google (именно она используется для работы с Интернет-версией магазина). В противном случае они могут оказаться жертвами вредоносного программного обеспечения - если, конечно, поисковый гигант не пересмотрит свой новый механизм доставки приложений.

Apple Insider

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

BI.ZONE приглашает спикеров выступить с докладами на OFFZONE 2019

17–18 июня 2019 года в Москве дочерняя компания Сбербанка BI.ZONE проведет вторую международную конференцию по практической кибербезопасности OFFZONE 2019. Основная цель конференции — создать по-настоящему качественный технический контент, а также поделиться практическими исследованиями в области кибербезопасности.

Всех, кто хотел бы выступить с докладами, а также представить свои исследования на OFFZONE 2019, приглашают подать заявку на CFP до 23:59 28 апреля 2019 года. Выступления могут касаться широкого круга практических вопросов – от безопасности в финансовых сервисах и веб-приложениях до защиты оборудования от аппаратных атак.

Форматы докладов

  • Talk: 45 минут, презентация строго на английском, доклад — на русском или английском.
  • Fasttrack: 15 минут, презентация строго на английском, доклад — на русском или английском.
  • Toolzone: демонстрационный стенд на 4 часа, презентация не обязательна, выступление на русском или английском.

Все заявки рассмотрит CFP-комитет, в составе которого — эксперты по безопасности веб-приложений и корпоративных систем, исследователи вредоносного ПО, низкоуровневого программного и аппаратного обеспечения.

Подробнее о CFP

BI.ZONE рад приветствовать не только докладчиков, но и всех, кто хотел бы присоединиться к OFFZONE 2019. Продажа билетов уже запущена.

Тематика постапокалиптического мира, как и в прошлом году, будет задавать атмосферу конференции. Участники конференции окажутся в исследовательских лабораториях, где выжившие ученые на глазах будут возрождать технологии, а в культуру снова вернется ASCII-арт.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru