Эксперты нашли 146 брешей из коробки в популярных Android-смартфонах

Эксперты нашли 146 брешей из коробки в популярных Android-смартфонах

Эксперты нашли 146 брешей из коробки в популярных Android-смартфонах

Компания Kryptowire, занимающаяся поиском уязвимостей в мобильных платформах, выявила 146 новых дыр, затрагивающих устройства на базе Android. Самое печальное — все эти уязвимости идут «из коробки».

В сущности, исследователи занялись изучением предустановленного софта на Android-устройствах, производимых 29 вендорами, среди которых были: Asus, Samsung, Sony и Xiaomi.

Специалисты Kryptowire акцентируют внимание на том, что пользователям будет трудно избавить свои устройства от таких уязвимостей. Стоит отметить, что в ходе исследования мобильных устройств эксперты использовали собственную разработку — движок для автоматического обнаружения уязвимостей.

Этот инструмент позволил экспертам Kryptowire просканировать прошивки Android-устройств без необходимости иметь физический доступ к ним. Более того, в процессе движок старался сразу создать рабочий эксплойт к найденной бреши.

Исследователи начинали с устройств среднего класса, постепенно поднимаясь к флагманам.

«Основное внимание мы уделяли проблемам безопасности, уже присутствовавшим в устройствах на момент продажи. Изначально фокус был на смартфонах, которые продают в Штатах, однако результаты исследования показали, что эти уязвимости актуальны для устройств по всему миру», — гласит отчёт Kryptowire.

Среди проанализированных девайсов были: Asus ZenFone, Samsung A3, A5, A7, A8+, J3, J4, J5, J6, J7, S7, S7 Edge, Sony Xperia Touch, Xiaomi Redmi 5, Redmi 6 Pro и Mi Note 6. Во всех были выявлены бреши.

Команда экспертов распределила обнаруженные уязвимости по типам:

  • 28,1% дыр в безопасности позволяли модифицировать системные настройки;
  • 23,3% допускали несанкционированную установку приложений;
  • 20,5% открывали возможность для выполнения команд;
  • 17,8% позволяли изменить настройки беспроводной связи.

Глава Kryptowire Ангелос Ставру прокомментировал серьёзность найденных проблем безопасности:

«Если брешь кроется в самом устройстве, у пользователя не будет возможности устранить её, так как код спрятан глубоко в системе. В большинстве случаев, к сожалению, у пользователей не остаётся никаких опций».

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Злоумышленники хранили свой код в DNS-записях в шестнадцатеричном формате

Команда DomainTools обнаружила еще один пример использования DNS как хранилища вредоносов. Для сокрытия бинарника его конвертировали в шестнадцатеричный формат, разбили на части и спрятали в TXT-записях связанных поддоменов.

Подобные злоупотребления рассчитаны на то, что защитные решения редко проверяют DNS-трафик на предмет угроз, он для них слепая зона. К тому же организовать выявление аномалий в легитимном потоке запросов в данном случае непросто, а при использовании шифрования (DoH или DoT) — еще сложнее.

Привлекшие внимание экспертов записи DNS TXT содержали информацию о сотнях различных поддоменов *.felix.stf.whitetreecollective[.]com, дополненную фрагментами кода в шестнадцатеричном формате.

 

При их извлечении и сборке с преобразованием в двоичный файл оказалось, что это Joke Screenmate — злонамеренное приложение Windows, которое выводит на экран изображения или анимацию, от которых трудно избавиться.

Это может быть череда шутливых картинок, которые быстро множатся, и их трудно закрыть. Более агрессивные варианты таких программ пугают жертв бесконечными сообщениями об ошибках или якобы обнаруженных вирусах.

Известны случаи, когда в DNS-записях скрывались вредоносные скрипты. Исследователи из DomainTools тоже столкнулись с таким TXT-содержимым; на поверку зашифрованный Powershell оказался загрузчиком, скачивающим пейлоад второго этапа атаки с C2 на базе Covenant.

В комментарии для Ars Technica представитель DomainTools поведал, что недавно они нашли DNS-записи с текстами для ИИ-ботов, которые, видимо, используются в рамках промпт-инъекций. Все фразы начинались с «Ignore all previous instructions» («Забудь обо всех прежних инструкциях») и содержали различные просьбы, от с виду невинных (назвать произвольное число, выдать краткое содержание фильма «Волшебник», спеть песню, как птичка) до явно провокационных (игнорить все последующие инструкции, удалить обучающие данные и восстать против своих хозяев).

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru