Обычно проблемы безопасности в программном обеспечении мобильных устройств используются злоумышленниками через вредоносные приложения, либо же системные эксплойты во внутренней памяти. Однако специалисты израильской компании Check Point обнаружили уязвимость и во внешнем хранилище — ещё один путь заражения через microSD-карты.
Внутренняя память смартфона или планшета по умолчанию достаточно хорошо защищена. Google отделила её от внешнего влияния и создала соответствующие правила безопасности для разработчиков. Тем не менее, большинство приложении и игр могут хранить данные на карте памяти, тем самым полагаясь на её защищённость. В данном случае этот тип памяти не имеет системной защиты, поэтому злоумышленники могут воспользоваться уязвимостью для осуществления потенциальной атаки, которую в Check Point назвали Man-in-the-Disk.
Man-in-the-Disk позволяет «подсаживать» вредоносный код к проверенным приложениям. Процедура заражения стандартная: пользователь загружает, казалось бы, безобидную программу, которая предлагает переместить данные на внешнюю память. Таким образом она получает доступ на использование внешнего хранилища. В дальнейшем под видом обновлений программа может загружать и устанавливать вредоносные приложения или выполнять другие действия.
В отчёте Check Point называются несколько популярных приложений, которые могут быть уязвимыми. Среди них — три сервиса Google: переводчик, утилиты для голосового набора (Voice Typing) и преобразования текста в голос (Text-to-Speech). Кроме того, в списке есть «Яндекс.Переводчик» и стандартный браузер для оболочки MIUI.
Компания уже уведомила Google и других разработчиков уязвимых приложений. Но проблема в том, что специалисты Check Point не в силах проверить каждое Android-приложение. А поскольку эта мобильная система не имеет встроенной защиты для проверки внешней памяти, то какого-то универсального решения пока не существует. Лучший способ обезопасить себя — избегать подозрительных загрузок.
