Уязвимость Android позволяет вредоносному коду обойти подписи приложений

Уязвимость Android позволяет вредоносному коду обойти подписи приложений

Уязвимость Android позволяет вредоносному коду обойти подписи приложений

Декабрьская партия обновлений для Android содержит исправление критической уязвимости, позволяющей злоумышленникам обойти подписи приложений и внедрить вредоносный код в Android-приложения.

Брешь была обнаружена исследовательской группой GuardSquare, она присутствует в механизме, который система Android использует для чтения подписей приложений.

Эксперты GuardSquare говорят, что для проверки целостности файла Android экономно проверяет байты в разных местах. Расположение этих байтов отличается в файлах APK и DEX, исследователи обнаружили, что они могут внедрить DEX-файл в APK, а Android все равно будет считать, что он читает оригинальный APK-файл.

Это происходит потому, что процесс внедрения DEX не изменяет байты, которые проверяет Android.

На деле эта уязвимость, получившая имя Janus, позволяет злоумышленнику внедрить вредоносные DEX-файлы в обновления легитимных Android-приложений (файлы APK). Более того, благодаря тому, что обновленное приложение наследует разрешения исходного приложения, вредонос может легко получить любые разрешения в системе.

Единственным недостатком Janus на данный момент является невозможность разместить вредоносные составляющие в официальном магазине приложений Play Store. Следовательно, злоумышленникам потребуется заманить пользователей в сторонние магазины приложений.

По утверждениям GuardSquare, уязвимость Janus влияет только на приложения, подписанные с помощью схемы подписи приложения v1. Приложения, подписанные с помощью схемы v2, не затронуты.

Также утверждается, что в опасности находятся устройства под управлением Android 5.0 и более поздних версий.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

В китайском Шэньчжэне вышел на патрулирование робот-полицейский

Роботы-гуманоиды в Шэньчжэне задействованы для обеспечения порядка в общественных местах, помощи туристам, а также в поиске потерявшихся детей и пожилых людей. В полиции города используется робот модели PM01, разработанный местной компанией Engine AI.

Ранее эти роботы демонстрировали приёмы кунг-фу и даже принимали участие в полумарафоне. Теперь же они стали частью крупного проекта по внедрению робототехники в систему общественной безопасности.

Робот имеет рост чуть менее 140 см и вес около 40 кг. Он не является полностью автономным устройством, выполняя роль ассистента. Устройство оснащено камерами с функцией распознавания лиц, а также системами синтеза и распознавания речи на кантонском и мандаринском диалектах.

Благодаря приводам промышленного класса, робот может оглядываться, не используя ноги. Его поле зрения составляет 320°. Стоимость относительно невелика — около 14 тысяч долларов.

Однако реакция пользователей соцсетей оказалась неоднозначной. Одни находят робота пугающим, сравнивая его с персонажем из антиутопии, другие ссылаются на франшизу «Терминатор». Пользователей тревожат этические аспекты использования таких систем и отсутствие у машин эмпатии.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru