Уязвимость во всех версиях Android позволяет генерировать SMS с произвольного номера

07.11.2012 | 10:36
Уязвимость во всех версиях Android позволяет генерировать SMS с произвольного номера
Проблема с утечками привилегий в операционной системе Android позволяет приложениям получать доступ к функциям телефона, которые им не разрешены.

Ранее проведённые исследования с тестированием восьми моделей смартфонов Android показали, что проблема присутствует во всех из них. Например, в таблице ниже показано, какие конкретно разрешения удалось получить приложениям, которые были установлены на устройство без соответствующих прав.
Уязвимость во всех версиях Android позволяет генерировать SMS с произвольного номера

Процитированная выше работа является исключительно академической, но теперь группа исследователей из государственного университета Северной Каролины сообщили о находке конкретного способа, как любое приложение может получить доступ к функции WRITE_SMS, то есть может эмулировать на устройстве приход SMS с произвольным текстом с любого номера. Подобная функция исключительно полезна для проведения атак типа SMiShing (SMS-фишинг). Злоумышленники могут присылать пользователю фиктивные SMS с доверенного номера, содержащие вредоносную ссылку.

Исследователи говорят, что им неизвестно о случаях применения этого способа в конкретных атаках, по при этом упоминают несколько известных случаев SMS-фишинга: 1, 2, 3. . Так что вполне вероятно, что данная техника уже используется на практике.

Информация с техническими подробностями об уязвимости была отправлена в Google 30 октября, спустя двое суток получено подтверждение. Технические детали осуществления "утечки привилегий" не будут опубликованы в свободном доступе до тех пор, пока Google не исправит ошибки в коде Android.

Интересно, что исследователи проверили и подтвердили наличие данной уязвимостей во всех версиях Android, начиная с 1.6 и заканчивая 4.1.

Для демонстрации они создали концепт программы, которая устанавливается на телефон без всяких разрешений и генерирует SMS с произвольного номера, как показано на видео внизу. Что интересно, на телефоне в демонстрационном видео даже отсутствует SIM-карта, так что он в принципе не должен принимать никаких SMS.

Демонстрационное видео.
Уязвимость, Android, SMS с произвольного номера
По материалам xakep.ru
Лента новостей: FacebookLiveJournalЯндекс

Комментарии (0)
Оставьте комментарий:CaptchaОбновить проверочный код