Специалист по безопасности Джошуа Дрейк объявил о существовании в мобильной операционной системе Android крупной бреши, которой теоретически могут воспользоваться злоумышленники. Эксплойт осуществляется при помощи MMS, к которому крепится мультимедийный файл с вредоносным кодом, в результате чего хакер получает доступ к микрофону, камере, внешнему накопителю данных, а в зависимости от модели смартфона даже Root-доступ. Но самым неприятным является то, что вредоносный код может быть внедрен и активирован даже без активных действий со стороны пользователя: теоретически заражение смартфон может произойти на инфицированном сайте при просмотре встроенного видеоконтента.
Я провёл множество тестов на смартфоне Galaxy Nexus под управлением Ice Cream Sandwich, в котором стандартным для MMS является приложение Messenger. MMS не запустилась автоматически, однако как только вы откроете его для просмотра, вам даже не обязательно будет запускать вложение в виде мультимедийного содержимого - вирусу достаточно даже этого", - рассказал Дрейк в интервью Forbes.
"Библиотеки Android используются не только для воспроизведения, но и для автоматического извлечения метаданных из видео, в частности, продолжительности, длины и прочей необходимой системе информации. Это означает, что необязательно даже запускать приложение, чтобы вредоносный код попал в систему. Достаточно просто скопировать его в систему", - добавляет PC World.
Хорошая новость заключается в том, что исследователь уже поделился своими наблюдениями с Google, и они совместно выпустили патч, закрывающий эту "дыру" в Android. Плохая новость в том, что для распространения заплатки потребуется какое-то время, потому что обновление смартфонов в экосистеме Android порой занимает многие месяцы, а ряд устройств и вовсе не получит апдейт. Переводя всё вышесказанное в абсолютные числа, можно предполагать, что 95% или около 950 миллионов смартфонов под управлением операционной системы Google до сих пор остаются подверженными данной атаке. Эксплойт был замечен в коде Android начиная с версии 2.2 и новее.
Дрейк обещает поделиться новыми подробностями о своей находке на конференции Defcon в Лас-Вегасе.
Источник