Android-nyckelbugg är inte en risk om du håller dig med google play

En sårbarhet i Android-operativsystemet låter angripare ta en befintlig app, injicera skadlig kod och paketera den på nytt så att den kan låtsas vara den ursprungliga appen. Ska du vara orolig?

Forskare på Bluebox Security fann bristen i hur kryptografiska signaturer för appar verifieras, skrev Jeff Forristal, CTO för Bluebox, på företagets blogg den 3 juli. Det betyder att angripare kan ändra appen utan att ändra dess kryptografiska signatur, sade Forristal.

Bristen har funnits sedan Android 1.6 ("Donut") och gjorde "99 procent" av enheterna, eller "vilken Android-telefon som har släppts under de senaste fyra åren" utsatta för attacker, hävdade Forristal.

Det läskiga scenariot går något så här: en legitim app (till exempel en Google-app) ändras för att stjäla lösenord eller ansluta enheten till ett botnet och släpps för användare att ladda ner. Eftersom båda apparna har samma digitala signatur kommer det att vara svårt för användare att veta vilken som är verklig och vilken är falsk.

Tja, inte riktigt.

Är jag i fara?

Google uppdaterade Google Play så att det finns kontroller för att blockera skadliga appar som använder denna exploatering för att maskera sig som någon annan app.

Om du installerar appar och uppdateringar från Google Play riskerar du inte detta utnyttjande, eftersom Google har vidtagit åtgärder för att säkra appmarknaden. Om du laddar ner appar från tredje parts marknadsplatser, till och med semi-officiella sådana som Samsung och Amazon-appbutiker, är du i riskzonen. För tillfället kan det vara värt att hålla på med att använda dessa marknadsplatser.

Google rekommenderar att användare håller sig borta från tredjepartsmarknaderna för Android-appar.

Vad mer kan jag göra?

Det är också viktigt att komma ihåg att du alltid ska titta på vem utvecklaren är. Även om en trojaniserad app klarar det via Google Play eller om du är i en annan appbutik kommer appen inte att listas under den ursprungliga utvecklaren. Om till exempel angripare packar om Angry Birds med denna sårbarhet, kommer den nya versionen inte att listas under Rovios konto.

Om du vill se till att du inte kan installera appar från tredjepartskällor går du till Inställningar> Säkerhet och ser till att kryssrutan för installation av appar från "okända källor" inte är markerad.

Om du har den senaste versionen av Android är du också skyddad av det inbyggda app-skanningssystemet eftersom det skannar appar som kommer från andra källor än Google Play. Det betyder att även om du felaktigt installerar en dålig app kan din telefon fortfarande blockera den skadliga koden.

Det finns också säkerhetsappar för Android som kan upptäcka skadligt beteende och varna dig om den kränkande appen. PCMag rekommenderar våra Editors 'Choice Bitdefender Mobile Security.

Är en attack sannolik?

"Bara för att" huvudnyckeln "ännu inte har utnyttjats, betyder det inte att vi kan vila på våra lagrar, " säger Grayson Milbourne, säkerhetschef för Webroot, till SecurityWatch . Mobilsäkerhet bör handla om att skydda enheten från alla sidor - identitetsskydd för att skydda lösenord och annan personlig information, blockera skadlig programvara och skadliga appar och att kunna hitta enheten om den går förlorad eller stulen, sade Milbourne.

Bluebox rapporterade bristen till Google tillbaka i februari och Google har redan drivit ut en lapp till sina hårdvarupartners i Open Handset Alliance. Flera tillverkare av mobiltelefoner har redan släppt korrigeringar för att lösa problemet. Transportörerna måste nu skjuta fixet till sina slutanvändare.

"Det är upp till enhetstillverkarna att producera och släppa firmware-uppdateringar för mobila enheter (och dessutom för användare att installera dessa uppdateringar), " sade Forristal. Bluebox planerar att avslöja mer information under Black Hat-konferensen i Las Vegas i slutet av denna månad.

Pau Oliva Fora, en ingenjör med mobilsäkerhetsföretag viaForensics, publicerade ett bevis på koncept som utnyttjade sårbarheten på github 8 juli. Fora skapade skalskriptet efter att ha läst detaljer om felet publicerat av Cyanogenmod-teamet. Cyanogenmod är en populär version av Android som användare kan installera på sina enheter. Laget har redan korrigerat bristen.

Om du är bland de turen få användare som får en Android-uppdatering från din operatör, se till att du laddar ner och installerar den direkt. Även om riskerna är små är uppdatering av operativsystemet helt enkelt god säkerhetsmässig känsla.