ОС Android исполняет код внутри изображений

ОС Android исполняет код внутри изображений

Хакеры из компании Fortinet продемонстрировали на конференции Black Hat Europe 2014, как можно прятать файлы Android APK внутрь изображений таким образом, чтобы запускать их на исполнение в операционной системе Android.

Подобный метод транспортировки APK позволяет избежать обнаружения со стороны антивирусных программ и, по словам авторов, даже обходит встроенную защиту Google Play. То есть можно распространять «заражённые» изображения через официальный каталог.

Авторы — специалист по безопасности Fortinet Аксель Апрвилль (Axelle Apvrille) и его коллега Анже Альбертини (Ange Albertini), который специализируется на реверс-инжиниринге. Они разработали Proof-of-Concept для доказательства, что метод действительно работает, пишет xakep.ru.

PoC использует питоновский скрипт под названием AngeCryption, который конвертирует файлы из одного формата в другой. Он превращает валидные файлы PNG в валидные программы, вычисляя необходимый ключ AES для такой конвертации. Разработчики выпустили скрипт несколько месяцев назад, а на конференции Black Hat Europe 2014 продемонстрировали одно из его практических применений.

Во время презентации хакеры показали разработанное ими приложение-обёртку, которое показывает картинку на экране Android-устройства, а потом может сконвертировать эту картинку в файл APK и установить его. В принципе, средства Android позволяют осуществить такую установку незаметно для пользователя, не спрашивая у него разрешения.

Для успешной работы эксплоита требуется добавить код в конец APK-файла, после маркера End of Central Directory (EOCD). Формально это не предусмотрено форматом, но в реальности можно добавить второй маркер и обмануть парсер Android. Компания Google уже уведомлена об уязвимости, но пока что вектор атаки актуален даже для последней версии Android 4.4.2 (на Android 5.0 ещё не проверяли).

Впрочем, даже после выхода патча высокая фрагментация рынка Android-устройств позволит эксплуатировать эту уязвимость на практике. Так что картинкам PNG доверять нельзя.

ГАИ проиграла суд против роботов-доставщиков

Московский городской суд отклонил жалобу ГАИ на решение суда первой инстанции, который не усмотрел в действиях роботов-доставщиков состава административного правонарушения, связанного с нарушением Правил дорожного движения. Ранее ГАИ обвинило дочернюю компанию Яндекса — «Рободоставку» — в нарушении ПДД.

Поводом для разбирательства стало происшествие 7 марта, когда инспектор ГАИ счёл, что робот-доставщик, передвигавшийся по тротуару, создаёт помехи пешеходам.

По мнению инспектора, это подпадало под статью 12.33 КоАП РФ. Компании «Рободоставка» в этом случае грозил штраф в размере 300 тыс. рублей.

Представители Яндекса с такой трактовкой не согласились, указав, что в действиях роботов-доставщиков отсутствует и не может присутствовать умысел. Дело было рассмотрено в Мещанском районном суде Москвы, который поддержал позицию компании.

«Роботы-доставщики не относятся к транспортным средствам, определённым нормами действующего законодательства. Как следует из видеозаписи, робот-доставщик передвигался по краю тротуара, не перекрывая пешеходную зону, автоматически останавливался при приближении людей. Пешеходы продолжали движение. Контакта, вынужденного сближения, опасных манёвров или остановок зафиксировано не было. Следовательно, объективных признаков угрозы безопасности дорожного движения не имелось», — такую выдержку из решения суда приводит Autonews.

ГАИ с таким решением не согласилась и подала жалобу в Московский городской суд. Однако Мосгорсуд оставил её без удовлетворения. Решение было принято ещё 5 февраля, но опубликовано только вечером 9 февраля.

«Мы работаем над тем, чтобы роботы-доставщики безопасно и корректно интегрировались в городскую среду и городскую инфраструктуру в рамках экспериментального правового режима, а также находимся в постоянном взаимодействии с профильными ведомствами. Подобные кейсы помогают формировать и развивать понятные правила использования автономных устройств в городе по мере накопления практического опыта», — прокомментировали судебное решение в Яндексе.

RSS: Новости на портале Anti-Malware.ru