Inuulat ng mananaliksik ng Tsino ang bagong nakatagong pag-atake sa tropa android

Ang pag-Trojan ng isang Android app sa pamamagitan ng pagdaragdag ng nakakahamak na code ay katawa-tawa. Gamit ang malawak na magagamit na mga tool, maaaring makapag-deconstruct ng kahit na anong file ng APK hanggang sa source code, magdagdag ng isang malisyosong module, mag-tweak ng ilang mga pahintulot, at muling magtayo ng isang bagong Trojanized na app na katulad ng dati. Gayunpaman, ang pagtuklas ng chicanery na ito ay isang simpleng bagay na suriin ang digital na lagda ng app. Noong nakaraang linggo, iniulat ng mga mananaliksik mula sa BlueBox Security ang tinatawag nilang isang "master key" kahinaan - isang pamamaraan para sa Trojanizing ng isang app nang hindi binabago ang digital na lagda. Sa linggong ito isang ulat ng isang mananaliksik na Tsino ang isa pang paraan upang maitago ang Trojan code.

Hindi Sinira ang Digital na Lagda

Ang buong punto ng digital na pag-sign ng isang dokumento o file ay upang patunayan ang file ay hindi pa nabago. Ang proseso ay gumagamit ng isang form ng public-key na kriptograpiya. Pirmahan mong nilagdaan ang isang file sa pamamagitan ng pag-encrypt nito gamit ang iyong pribadong key. Ang katotohanan na ang naka-encrypt na file ay maaaring mai-decry gamit ang iyong pampublikong susi ay patunay na walang nag-tamping. Kung ang BlueBox ay natagpuan ang isang paraan upang aktwal na baguhin ang isang file nang hindi binabago ang digital na lagda, iyon ay magiging isang mabagsik na suntok sa buong industriya ng crypto. Ngunit hindi nila ginawa.

Iniuulat ng BlueBox ang buong detalye ng kanilang pananaliksik sa kumperensya ng Black Hat sa ilang linggo. Gayunpaman, ang mananaliksik ng ViaForensics na si Pau Oliva Fora ay nag-post ng patunay ng konsepto ng konsepto na naglalarawan sa diskarte na kinuha.

Sa katotohanan, ito ay napaka, napaka-simple. Ang mga file ng APK ay naka-pack gamit ang isang bersyon ng laganap na ZIP archive algorithm. Karamihan sa mga pagpapatupad ng ZIP ay hindi pahihintulutan ang dalawang magkatulad na pangalan ng mga file sa isang archive, ngunit ang algorithm mismo ay hindi nagbabawal sa posibilidad na iyon. Kapag sinuri ang digital na pirma ng isang app, ang Android OS ay tumitingin sa unang file na tumutugma, ngunit kapag aktwal na nagsasagawa at naglulunsad ng file, kinuha nito ang huling . Upang i-Trojanize ang isang app, kung gayon, ang kailangan mo lang gawin ay mabulok ang iyong nakakahamak na code sa loob nito gamit ang isang pangalan na mayroon na sa loob ng app. Ang pagpapakita ni Fora ay ilan lamang sa mga dosenang linya ng code ng Java.

Ang isa pang Structural Attack

Ang isang mananaliksik ng Tsino na nagba-blog bilang Android Security Squad ay natagpuan ang demonstrasyon na nakakaintriga at nagpunta sa paghahanap ng iba pang mga paraan upang mapawi ang proseso ng pag-verify. Ang pagbabasa ng post na isinalin ng Google ay medyo mahirap, ngunit lumilitaw na ang pag-atake ay nakasalalay sa konsepto na antas ng antas ng Computer Science.

Nag-iimbak ang mga programa ng computer ng mga bilang sa mga koleksyon ng mga naayos na laki na laki. Halimbawa, na may walong piraso maaari kang kumatawan ng mga numero mula 0 hanggang 255. Kung kinakailangan upang kumatawan sa mga negatibong numero, ang matagal na kombensiyon ay ang pinakamahabang bit ay nagpapahiwatig ng isang negatibong numero. Sa pamamagitan ng walong piraso, kung gayon, maaari ka ring kumatawan ng mga numero mula -128 hanggang 127. Ang binary number 11111111 ay kumakatawan sa alinman sa 255 o -1, depende sa kung inilaan ito bilang isang hindi naka -ignign o naka-sign number.

Ang Android Security Squad na naka-pored sa format ng header ng APK file at natagpuan ang isang patlang ng data na ipinapalagay na isang positibong offset, ngunit na naka-imbak bilang isang naka-sign integer. Ang pagpilit sa patlang na ito sa isang tiyak na negatibong halaga ay sanhi ng pagpapatupad ng APK loader ng malisyosong code, sa halip na na-verify na codeally-sign code. OK, medyo mas kumplikado ito, ngunit iyon ay halos kung paano ito gumagana.

Stick Sa Google Play

Ni alinman sa mga hack na ito ay talagang nagbabawas sa mekanismo ng digital digital na lagda. Sa halip, kapwa nila sinasamantala ang mga quirks sa istraktura ng APK upang maaring hindi magkatugma ang digital na lagda. Gayundin, alinman sa mga ito ay hindi paganahin ang isang Trojanized app na ma-sneak ang nakaraang pagtatasa ng Google. Partikular na na-update ng Google ang Google Play upang salain ang mga naka-Trojan na apps gamit ang atake ng "master key"; kahit na walang hakbang na iyon, ang karaniwang seguridad ay halos tiyak na harangan ang alinman sa uri ng Trojanized app.

Malinaw ang aralin. Laging makuha ang iyong mga app mula sa mga lehitimong mapagkukunan, palaging suriin upang matiyak na ang pangalan ng developer ay may bisa, at i-configure ang iyong telepono upang hindi ito pinahihintulutan ang pag-install ng mga app mula sa "hindi kilalang mga mapagkukunan." Bigyang-pansin kung aling mga pahintulot ang isang kahilingan ng app, at maging handa na mag-abort sa isang kahina-hinalang na pag-install. Kung nag-aalok ang iyong tagadala ng isang pag-update ng Android, palaging i-install ito. Karaniwan lang ang kahulugan!