Kaip rašo leidinys „Ars Technica“, besiremiantis saugumo bendrovės „Promon“ paviešinta informacija, programinė saugumo spraga programišiams suteikia progą savo reikmėms panaudoti programėles, kurios jau yra įdiegtos naudotojų telefonuose ir kuriomis naudotojai jau pasitiki. Piktybinės programėlės, užsimaskavusios patikimų programėlių pavidalu, gali paprašyti leidimų atlikti jautrias užduotis – pavyzdžiui, įrašyti garsą ar vaizdą, fotografuoti, skaityti trumpąsias žinutes, perimti prisijungimo prie el.bankininkystės paslaugų parametrus. Teigiamai į tokius prašymus atsakę naudotojai tampa pažeidžiamais.
„Promon“ partneriai, įmonės „Lookout“ saugumo analitikai, praėjusią savaitę paskelbė nustatę 36 programėles, išnaudojančias tokią „maskarado“ spragą. Piktybinės programėlės yra trojano „BankBot“ modifikacijos. „BankBot“ yra naudojamas nuo 2017 metų, šios šeimos programėles laikas nuo laiko pavyksta sėkmingai infiltruoti į „Google Play“ programėlių parduotuvę.
Ši saugumo spraga pavojingiausia tiems telefonams, kuriuose įdiegtos „Android“ versijos nuo 6 iki 10. „Statista“ duomenimis tai reiškia, kad itin pažeidžiami yra 80 proc. telefonų visame pasaulyje. Telefonų su tokiomis „Android“ versijomis naudotojai prašymą suteikti prieigos leidimą mato tarsi tikros, patikimos programėlės prašymą. Be to, leidimų prašymų apimtis nėra ribojama – programišiai gali „užsakyti“ viską, ko širdis geidžia: prieigos prie žinučių, fotoaparato, mikrofono, kameros, GPS ir bet kurių kitų telefono sistemų. Vienintelis būdas apsisaugoti šiuo metu – atsakyti „Ne“.
Saugumo spraga glūdi funkcijoje, kuri pavadinta „TaskAffinity“ – darbui su daugeliu užduočių vienu metu skirta funkcija, kurie leidžia vienai programėlei perimti kitos programėlės ar užduoties, veikiančios daugelio programėlių aplinkoje, tapatybę. Piktybinės programėlės šią funkciją gali išnaudoti, nurodydamos „TaskAffinity“ vieno ar kelių piktybinių paketų pavadinimą prilyginti patikimų paketų pavadinimams. Suderinus tokį netikrą paketo pavadinimą su papildoma „allowTaskReparenting“ funkcija arba paleidžiant piktybinį paketą su „Intent.FLAG_ACTIVITY_NEW_TASK“ žymeniu piktybinė programėlė pakeis patikimą programėlę.
„Tokiu būdu piktybinė veikla užgrobia programėlės-taikinio vykdomą veiklą. Kitą kartą, kai programėlė bus paleidžiama per „Launcher“, aktyvuosis jos piktybinis dvynys. Tam, kad piktybinė programėlė veiktų sėkmingai, ji turi atrodyti lygiai taip pat kaip ir grobtoji programėlė – tada įgyjama galimybė vykdyti didelio sudėtingumo atakas prieš vartotoją. Yra galimybė tokią užduotį užgrobti dar iki įdiegiant programėlę, į kurią bus nusitaikyta“, – tvirtina „Promon“ saugumo analitikai.
„Google“, informuoti „Promon“, piktybines programėles iš savo programėlių parduotuvės pašalino, tačiau kol kas saugumo spraga nėra užtaisyta visose „Android“ versijose. „Promon“ šiai spragai suteikė „StrandHogg“ pavadinimą – taip buvo vadinama senovinė vikingų taktika vykdyti pakrančių gyvenviečių reidus, plėšti turtą ir imti žmones įkaitais. Nei „Promon“, nei „Lookout“ neskelbė piktybinių programėlių pavadinimų – dėl to žmonėms bus sudėtinga sužinoti, ar jie jau įsidiegė nepageidaujamą programinę įrangą ir yra pažeidžiami.
„Google“ atstovai oficialiai nenurodo datos, kada ši spraga bus užtaisyta, kiek programėlių, išnaudojančių šią spragą, jau yra sugauta arba kiek galinių vartotojų galėjo būti paveikti. Įmonės atstovai viešai komentuoja tik taip:
„Vertiname saugumo analitikų darbą ir suspendavome potencialiai žalingas programėles, kurias jie identifikavo. „Google Play Protect“ paslauga aptinka ir blokuoja piktybines programėles, įskaitant tas, kurios išnaudoja šį metodą. Be to, toliau vykdome šio atvejo tyrimą, siekdami patobulinti „Google Play Protect“ gebėjimą apsaugoti vartotojus nuo panašių išpuolių.“
„StrandHogg“ daugiausiai grėsmės kelia mažiau patyrusiems išmaniųjų telefonų naudotojams arba asmenims, kurie sunkiau skiria subtilius programėlių veikimo skirtumus. Tačiau yra keletas požymių, į kuriuos atkreipus dėmesį, galima apsisaugoti nuo bandymo išnaudoti šią spragą:
- Prisijungimo duomenų prašo programėlė arba paslauga, prie kurios jau esate prisijungę;
- Iššoka leidimų prašymo dialogas, kuriame nerodomas programėlės pavadinimas;
- Iššoka programėlės leidimų prašymas, kuris neturėtų būti būdingas tai programėlei – pavyzdžiui, kalkuliatorius prašo prieigos prie GPS imtuvo;
- Rašybos klaidos vartotojo sąsajoje;
- Kai kurie mygtukai ir nuorodos vartotojo sąsajoje yra neaktyvūs;
- Mygtukas „Back“ neveikia taip, kaip turėtų veikti;
Įspėjimas iš Čekijos banko
„Promon“ tyrėjai paskelbė, kad jie „StrandHogg“ identifikavo po to, kai gavo informacijos iš neįvardintos Rytų Europos finansinių institucijų kibernetinio saugumo kompanijos, kuri nurodė, kad jau keli bankai Čekijoje informavo apie pinigus, dingstančius iš klientų sąskaitų. Šis partneris perdavė „Promon“ įtartinos programinės įrangos pavyzdį. Ilgainiui „Promon“ išsiaiškino šios spragos išnaudojimo principus, o vėliau „Lookout“ aptiko net 36 programėles, išnaudojančias šią spragą.
Viešame saugumo bendrovių pareiškime nebuvo skelbiama, kokių finansinių institucijų vartotojai galėjo tapti kibernetinių banko vagių aukomis.
Kibernetinio saugumo ekspertai vartotojams rekomenduoja įtariai vertinti bet kokias programėles, įdiegiamas iš „Google Play“ parduotuvės, o ypač – tas programėles, kurios atsisiunčiamos iš „trečiųjų šalių“. Taip pat reikėtų visada kritiškai vertinti bet kokius programėlių prašymus suteikti prieigą prie telefono sistemų.
